Zaloguj się
Deutsch English Español Polski
Wysoka

Protobuf Java vulnerable to Uncontrolled Resource Consumption

  • Ujawniono: 12.12.2022
  • Aktualizacja: 11.10.2026 13:19

A parsing issue similar to CVE-2022-3171, but with Message-Type Extensions in protobuf-java core and lite versions prior to 3.21.7, 3.20.3, 3.19.6 and 3.16.3 can lead to a denial of service attack. Inputs containing multiple instances of non-repeated embedded messages with repeated or unknown fields causes objects to be converted back-n-forth between mutable and immutable forms, resulting in potentially long garbage collection pauses. We recommend updating to the versions mentioned above.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) com.google.protobuf:protobuf-java >= 3.0.0, < 3.16.3, >= 3.17.0, < 3.19.6, >= 3.20.0, < 3.20.3, >= 3.21.0, < 3.21.7 3.16.3, 3.19.6, 3.20.3, 3.21.7
Java / Kotlin (Maven) com.google.protobuf:protobuf-javalite >= 3.0.0, < 3.16.3, >= 3.17.0, < 3.19.6, >= 3.20.0, < 3.20.3, >= 3.21.0, < 3.21.7 3.16.3, 3.19.6, 3.20.3, 3.21.7

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-400
Platforma
Java / Kotlin (Maven)
Paczka
com.google.protobuf:protobuf-java, com.google.protobuf:protobuf-javalite
Ujawniono
12.12.2022
Aktualizacja
11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4gg5-vx3j-xwc7 - CC BY 4.0

Historia podatności: com.google.protobuf:protobuf-java

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
6
Pierwsza → ostatnia
01.2022 09.2024
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 5
  • Średnia 1

Ujawnienia w latach

  1. protobuf-java has potential Denial of Service issue
    Wysoka · 7.5 CVE-2024-7254 < 3.25.5, >= 4.0.0-RC1, < 4.27.5, >= 4.28.0-RC1, < 4.28.2 3.25.5, 4.27.5, 4.28.2
  2. Protobuf Java vulnerable to Uncontrolled Resource Consumption
    Wysoka · 7.5 CVE-2022-3509 >= 3.0.0, < 3.16.3, >= 3.17.0, < 3.19.6, >= 3.20.0, < 3.20.3, >= 3.21.0, < 3.21.7 3.16.3, 3.19.6, 3.20.3, 3.21.7
  3. Protobuf Java vulnerable to Uncontrolled Resource Consumption ten wpis
    Wysoka · 7.5 CVE-2022-3510 >= 3.0.0, < 3.16.3, >= 3.17.0, < 3.19.6, >= 3.20.0, < 3.20.3, >= 3.21.0, < 3.21.7 3.16.3, 3.19.6, 3.20.3, 3.21.7
  4. protobuf-java has a potential Denial of Service issue
    Średnia · 5.7 CVE-2022-3171 >= 3.21.0-rc-1, < 3.21.7, >= 3.20.0-rc-1, < 3.20.3, >= 3.17.0-rc-1, < 3.19.6, < 3.16.3 3.21.7, 3.20.3, 3.19.6, 3.16.3
  5. Nullptr dereference when a null char is present in a proto symbol. The symbol is parsed incorrectly, leading to an unchecked call into the proto file's name during generation of the resulting error me
    Wysoka · 7.5 CVE-2021-22570 < 3.15.0 3.15.0
  6. A potential Denial of Service issue in protobuf-java
    Wysoka · 7.5 CVE-2021-22569 < 3.16.1, >= 3.18.0, < 3.18.2, >= 3.19.0, < 3.19.2 3.16.1, 3.18.2, 3.19.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.