Contrast through 1.20.0 contains a panic vulnerability in the transit-engine endpoint's ciphertextContainer.UnmarshalJSON function that fails to validate decoded ciphertext length before slicing. An authenticated workload with a valid mesh certificate can trigger a runtime panic by submitting a short base64-encoded ciphertext, causing log spam and request failures without crashing the process.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
edgelesssys:contrast
Ссылки 2
https://github.com/edgelesssys/contrast/security/advisories/GHSA-3ccm-4qq2-5wrp
GitHub Security Advisory (GHSA-3ccm-4qq2-5wrp)
https://www.vulncheck.com/advisories/edgeless-systems-contrast-through-1.20.0-d…
VulnCheck Advisory: Edgeless Systems Contrast through 1.20.0 Denial of Service via ciphertextContainer