CVE-2021-22569
Publiée le 2022-01-10 · Dernière modification le 2026-06-17
Les applications utilisant la bibliothèque `protobuf-java` sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut envoyer via le réseau une charge utile restreinte, spécifiquement conçue, pour bloquer l'analyseur et paralyser le système pendant plusieurs minutes. Comme cela ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, l'exécution est relativement simple.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- cve-coordination@google.com
- cve-coordination@google.com
- cve-coordination@google.com
- cve-coordination@google.com
- cve-coordination@google.com
- cve-coordination@google.com
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
Description officielle du NVD (en anglais)
An issue in protobuf-java allowed the interleaving of com.google.protobuf.UnknownFieldSet fields in such a way that would be processed out of order. A small malicious payload can occupy the parser for several minutes by creating large numbers of short-lived objects that cause frequent, repeated pauses. We recommend upgrading libraries beyond the vulnerable versions.