modern-tar 0.3.5 through 0.8.5 contains a memory exhaustion vulnerability that allows attackers to produce negative entry sizes via non-octal bytes parsed by readOctal(). Attackers can supply a crafted, optionally gzip-compressed, archive to unpackTar() that buffers chunks indefinitely, exhausting process memory and suppressing later entries.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 5
https://github.com/ayuhito/modern-tar
disclosure@vulncheck.com
https://github.com/ayuhito/modern-tar/blob/v0.8.5/src/tar/encoding.ts
disclosure@vulncheck.com
https://github.com/ayuhito/modern-tar/commit/181c8cb75351867535057817ada4802a90…
disclosure@vulncheck.com
https://github.com/ayuhito/modern-tar/pull/195
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/modern-tar-0.3.5-through-0.8.5-memory-exha…
disclosure@vulncheck.com