Microsoft.OpenApi.YamlReader anfällig für Denial of Service über YAML-Alias-Expansion

Auswirkungen

Ein kleines YAML-OpenAPI-Dokument mit verschachtelten Ankern und Aliasen kann einen unkontrollierten Ressourcenverbrauch in Microsoft.OpenApi.YamlReader und Microsoft.OpenApi.Readers verursachen. Das Problem betrifft das Parsen von OpenAPI-Dokumenten über die öffentlichen YAML-Reader-APIs und kann dazu führen, dass der Parsing-Prozess übermäßig viel Speicher allokiert und aufgrund von Out-of-Memory-Bedingungen beendet wird.

Betroffene Versionen

Microsoft.OpenApi.YamlReader

• >= 2.0.0-preview.11, < 2.12.0
• >= 3.0.0, < 3.10.0

Microsoft.OpenApi.Readers

• < 1.6.30

Patches

• Für die Hauptversion 1.X sind die Versionen 1.6.30 und höher gepatcht.
• Für die Hauptversion 2.X sind die Versionen 2.12.0 und höher gepatcht.
• Für die Hauptversion 3.X sind die Versionen 3.10.0 und höher gepatcht.

Tragweite

Anwendungen, CLIs, Entwicklertools oder Dienste, die nicht vertrauenswürdige YAML-OpenAPI-Dokumente innerhalb des Prozesses parsen, können durch ein speziell gestaltetes YAML-Dokument mit verschachtelten Ankern und Aliasen beendet werden.

Die Auswirkung beschränkt sich ausschließlich auf die Verfügbarkeit bzw. den Prozessabbruch. Es liegen keine Hinweise auf Remote-Codeausführung, Authentifizierungsumgehung, Offenlegung von Zugangsdaten, Rechteausweitung, Datenexposition oder Auswirkungen auf von Microsoft gehostete Dienste vor.

Details

Microsoft.OpenApi.YamlReader und Microsoft.OpenApi.Readers verarbeiten YAML über SharpYaml. SharpYaml stellt Aliase als geteilte YamlNode-Instanzen in einem gerichteten azyklischen Graphen dar, sodass der anfänglich geparste YAML-Graph klein bleibt. Bei der Konvertierung in System.Text.Json.Nodes.JsonNode müssen Aliase als unabhängige Knoten materialisiert werden, da JsonNode-Instanzen nicht mehreren übergeordneten Elementen zugewiesen werden können.

Ohne eine Begrenzung dieser Konvertierungsarbeit kann ein kleines YAML-Dokument mit verschachtelten Ankern und Aliasen während der Konvertierung exponentiell anwachsen. Bei N verschachtelten Ankern, die jeweils k-mal referenziert werden, kann die Konvertierung k^N materialisierte JSON-Knoten erfordern, was zu übermäßiger Speicherbelegung und möglichem Prozessabbruch führt.

Dies ist eine Schwachstelle durch unkontrollierten Ressourcenverbrauch, auch bekannt als Denial-of-Service im Stil von „Billion Laughs“.

Beispielhafter Payload

openapi: 3.0.0
info:
  title: Test
  version: 0.0.1
paths: {}
x-a: &a ["lol", "lol", "lol", "lol", "lol", "lol", "lol", "lol", "lol"]
x-b: &b [*a, *a, *a, *a, *a, *a, *a, *a, *a]
x-c: &c [*b, *b, *b, *b, *b, *b, *b, *b, *b]
x-d: &d [*c, *c, *c, *c, *c, *c, *c, *c, *c]
x-e: &e [*d, *d, *d, *d, *d, *d, *d, *d, *d]
x-f: &f [*e, *e, *e, *e, *e, *e, *e, *e, *e]