Pivotick использовал простые объекты JavaScript в качестве таблиц поиска, индексированных идентификаторами узлов графа, управляемыми вызывающим абонентом, в своих компонентах древовидной компоновки и обнаружения циклов. Идентификаторы узлов, соответствующие свойствам, унаследованным от Object.prototype, таким как конструктор, toString или __proto__, не обрабатывались как обычные идентификаторы. Эти значения можно интерпретировать как существующие унаследованные свойства, разрешать значения неожиданного типа или — в случае назначений __proto__ — изменять прототип объекта внутреннего поиска.
Злоумышленник, который может предоставить данные графа, содержащие созданные идентификаторы узлов, может, следовательно, привести к молчаливому пропуску узлов или ребер, созданию неправильных уровней иерархии, обходу или повреждению результатов обнаружения цикла или вызвать исключение, которое прерывает обработку и рендеринг графа. Это влияет на целостность графических визуализаций и аналитики и может привести к отказу в обслуживании на стороне клиента. Затронутый код также не смог безопасно обработать ребра, исходный узел которых отсутствовал в предоставленном наборе узлов.
Более того, вычисление максимальной глубины дерева путем распределения всех значений уровня в Math.max() может превысить ограничение на количество аргументов функции JavaScript при обработке достаточно большого графа, что приведет к исключению и отказу в обслуживании. Патч заменяет простые объекты с идентификатором на экземпляры Map, игнорирует недопустимые ребра во время построения дерева и итеративно вычисляет максимальную глубину.
Показать оригинальное описание (EN)
Pivotick used plain JavaScript objects as lookup tables indexed by caller-controlled graph node identifiers in its tree-layout and cycle-detection components. Node identifiers matching properties inherited from Object.prototype, such as constructor, toString, or __proto__, were not handled as ordinary identifiers. These values could be interpreted as existing inherited properties, resolve to values of an unexpected type, or—in the case of __proto__ assignments—modify the prototype of an internal lookup object. An attacker who can supply graph data containing crafted node identifiers could consequently cause nodes or edges to be silently omitted, produce incorrect hierarchy levels, bypass or corrupt cycle-detection results, or trigger an exception that interrupts graph processing and rendering. This affects the integrity of graph visualisations and analytics and may cause a client-side denial-of-service condition. The affected code also failed to safely handle edges whose source node was absent from the supplied node set. Furthermore, calculating the maximum tree depth by spreading all level values into Math.max() could exceed the JavaScript function-argument limit when processing a sufficiently large graph, resulting in an exception and denial of service. The patch replaces identifier-keyed plain objects with Map instances, ignores invalid edges during tree construction, and calculates the maximum depth iteratively.
Характеристики атаки
Последствия
Строка CVSS v4.0