【漏洞通告】Apache Avro-rs整數溢出漏洞（CVE-2022-36125）
發布時間 2022-08-090x00 漏洞概述
CVE ID | CVE-2022-36125 | 發現時間 | 2022-08-09 |
類 型 | 整數溢出 | 等 級 | 高危 |
遠程利用 | 影響范圍 | ||
攻擊復雜度 | 用戶交互 | ||
PoC/EXP | 在野利用 |
0x01 漏洞詳情
Apache Avro 是一個數據序列化系統，可以將數據結構或對象轉化成便于存儲或傳輸的格式。Avro-rs是用于在Rust中使用Apache Avro的庫。
8月8日，Apache 發布安全公告，修復了Apache Avro-rs中的一個整數溢出漏洞（CVE-2022-36125），由于在Avro Rust SDK中讀取損壞的.avro文件時會發生整數溢出，可能導致應用程序崩潰。
此外，Apache Avro-rs中還修復了如下兩個漏洞，這些漏洞都影響了使用0.14.0之前的Apache Avro Rust SDK（以前稱為Avro-rs）的Rust應用程序：
l Apache Avro-rs拒絕服務漏洞（CVE-2022-35724，高危）：在Avro Rust SDK中讀取數據時，可能導致Reader無休止地循環，耗費CPU，最終導致拒絕服務。
l Apache Avro-rs內存過度消耗漏洞（CVE-2022-36124，中危）：Avro Rust SDK中存在內存過度消耗問題，Reader 可能會消耗超出允許限制的內存，從而導致內存不足。
影響范圍
Apache Avro-rs版本 < 0.14.0
0x02 安全建議
目前這些漏洞已經修復，受影響用戶可升級到Apache Avro-rs版本 0.14.0。
下載鏈接：
https://crates.io/crates/avro-rs/versions
0x03 參考鏈接
https://www.mail-archive.com/announce@apache.org/msg07496.html
https://www.mail-archive.com/announce@apache.org/msg07498.html
https://github.com/apache/avro/tree/master/lang/rust
https://docs.rs/avro-rs/0.13.0/avro_rs/
0x04 版本信息
版本 | 日期 | 修改內容 |
V1.0 | 2022-08-09 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰成立于1996年，是由留美博士嚴望佳女士創建的、擁有完全自主知識產權的信息安全高科技企業。是國內最具實力的信息安全產品、安全服務解決方案的領航企業之一。
公司總部位于北京市中關村軟件園啟明星辰大廈，公司員工近4000人，研發團隊1200余人, 技術服務團隊1300余人。在全國各省、市、自治區設立分支機構六十多個，擁有覆蓋全國的銷售體系、渠道體系和技術支持體系。公司于2010年6月23日在深圳中小板掛牌上市。（股票代碼：002439）
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號