Underscore.js — это служебная библиотека для JavaScript. До версии 1.13.8 функции _.flatten и _.isEqual использовали рекурсию без ограничения глубины. При очень специфических условиях, подробно описанных ниже, злоумышленник может использовать это для атаки типа «отказ в обслуживании» (DoS), вызвав переполнение стека.
Ненадежные входные данные должны использоваться для создания рекурсивной структуры данных, например, с использованием JSON.parse, без принудительного ограничения глубины. Созданная таким образом структура данных должна быть передана в _.flatten или _.isEqual. В случае _.
Flatten уязвимость можно использовать только в том случае, если удаленный клиент может подготовить структуру данных, состоящую из массивов на всех уровнях, И если в качестве второго аргумента _. Flatten не передается конечный предел глубины. В случае _.isEqual уязвимость можно использовать только в том случае, если существует путь кода, в котором две разные структуры данных, отправленные одним и тем же удаленным клиентом, сравниваются с использованием _.isEqual.
Например, если клиент отправляет данные, которые хранятся в базе данных, и тот же клиент может позже отправить другую структуру данных, которая затем сравнивается с данными, которые были сохранены в базе данных ранее, ИЛИ если клиент отправляет один запрос, но его данные анализируются дважды, создавая две неидентичные, но эквивалентные структуры данных, которые затем сравниваются. Исключения, возникающие в результате вызова _.flatten или _.isEqual в результате переполнения стека, не перехватываются. Эта уязвимость исправлена в версии 1.13.8.
Показать оригинальное описание (EN)
Underscore.js is a utility-belt library for JavaScript. Prior to 1.13.8, the _.flatten and _.isEqual functions use recursion without a depth limit. Under very specific conditions, detailed below, an attacker could exploit this in a Denial of Service (DoS) attack by triggering a stack overflow. Untrusted input must be used to create a recursive datastructure, for example using JSON.parse, with no enforced depth limit. The datastructure thus created must be passed to _.flatten or _.isEqual. In the case of _.flatten, the vulnerability can only be exploited if it is possible for a remote client to prepare a datastructure that consists of arrays at all levels AND if no finite depth limit is passed as the second argument to _.flatten. In the case of _.isEqual, the vulnerability can only be exploited if there exists a code path in which two distinct datastructures that were submitted by the same remote client are compared using _.isEqual. For example, if a client submits data that are stored in a database, and the same client can later submit another datastructure that is then compared to the data that were saved in the database previously, OR if a client submits a single request, but its data are parsed twice, creating two non-identical but equivalent datastructures that are then compared. Exceptions originating from the call to _.flatten or _.isEqual, as a result of a stack overflow, are not being caught. This vulnerability is fixed in 1.13.8.
Характеристики атаки
Последствия
Строка CVSS v4.0