Microsoft.OpenApi.YamlReader vulnerable a denegación de servicio mediante expansión de alias YAML

Impacto

Un documento YAML OpenAPI pequeño que contenga anclas y alias anidados puede provocar un consumo descontrolado de recursos en Microsoft.OpenApi.YamlReader y Microsoft.OpenApi.Readers. El problema afecta al análisis de documentos OpenAPI a través de las API públicas del lector YAML y puede hacer que el proceso de análisis asigne memoria excesiva y termine por condiciones de falta de memoria (out-of-memory).

Versiones afectadas

Microsoft.OpenApi.YamlReader

• >= 2.0.0-preview.11, < 2.12.0
• >= 3.0.0, < 3.10.0

Microsoft.OpenApi.Readers

• < 1.6.30

Parches

• Para la versión principal 1.X, las versiones 1.6.30 y posteriores están corregidas.
• Para la versión principal 2.X, las versiones 2.12.0 y posteriores están corregidas.
• Para la versión principal 3.X, las versiones 3.10.0 y posteriores están corregidas.

Alcance

Las aplicaciones, CLI, herramientas de desarrollo o servicios que procesan documentos YAML OpenAPI no confiables dentro del proceso pueden cerrarse debido a un documento YAML manipulado que contenga anclas y alias anidados.

El impacto afecta únicamente a la disponibilidad y la terminación del proceso. Este informe no contempla ejecución remota de código, elusión de autenticación, exposición de credenciales, escalada de privilegios, exposición de datos ni afectación a servicios alojados de Microsoft.

Detalles

Microsoft.OpenApi.YamlReader y Microsoft.OpenApi.Readers analizan YAML mediante SharpYaml. SharpYaml representa los alias como instancias compartidas de YamlNode en un grafo acíclico dirigido, por lo que el grafo YAML analizado inicialmente se mantiene pequeño. Durante la conversión a System.Text.Json.Nodes.JsonNode, los alias deben materializarse como nodos independientes porque las instancias de JsonNode no pueden asociarse a múltiples elementos primarios.

Sin un límite en ese trabajo de conversión, un documento YAML pequeño que utilice anclas y alias anidados puede expandirse exponencialmente durante la conversión. Con N anclas anidadas referenciadas cada una k veces, la conversión puede requerir k^N nodos JSON materializados, provocando una asignación excesiva de memoria y la posible finalización del proceso.

Se trata de una vulnerabilidad de consumo descontrolado de recursos, también conocida como denegación de servicio de tipo «billion laughs».

Carga útil de ejemplo

openapi: 3.0.0
info:
  title: Test
  version: 0.0.1
paths: {}
x-a: &a ["lol", "lol", "lol", "lol", "lol", "lol", "lol", "lol", "lol"]
x-b: &b [*a, *a, *a, *a, *a, *a, *a, *a, *a]
x-c: &c [*b, *b, *b, *b, *b, *b, *b, *b, *b]
x-d: &d [*c, *c, *c, *c, *c, *c, *c, *c, *c]
x-e: &e [*d, *d, *d, *d, *d, *d, *d, *d, *d]
x-f: &f [*e, *e, *e, *e, *e, *e, *e, *e, *e]