Marked bis 4.0.9 Regular Expression Denial of Service

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.3$0-$5k0.00

Es wurde eine problematische Schwachstelle in Marked bis 4.0.9 entdeckt. Dabei betrifft es ein unbekannter Prozess der Komponente Regular Expression Handler. Durch Manipulation mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-400 vorgenommen. Dies wirkt sich aus auf die Verfügbarkeit. CVE fasst zusammen:

Marked is a markdown parser and compiler. Prior to version 4.0.10, the regular expression `inline.reflinkSearch` may cause catastrophic backtracking against some strings and lead to a denial of service (DoS). Anyone who runs untrusted markdown through a vulnerable version of marked and does not use a worker with a time limit may be affected. This issue is patched in version 4.0.10. As a workaround, avoid running untrusted markdown through marked or run marked on a worker thread and set a reasonable time limit to prevent draining resources.

Die Schwachstelle wurde am 14.01.2022 als GHSA-5v2h-r2cx-5xgj publik gemacht. Auf github.com kann das Advisory eingesehen werden. Die Verwundbarkeit wird seit dem 16.11.2021 unter CVE-2022-21681 geführt. Sie ist leicht ausnutzbar. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. MITRE ATT&CK führt die Angriffstechnik T1499 für diese Schwachstelle.

Ein Upgrade auf die Version 4.0.10 vermag dieses Problem zu beheben. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 8f806573a3f6c6b7a39b8cdb66ab5ebb8d55a5f5 beheben. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Aktualisieren auf eine neue Version empfohlen.

Produktinfoanpassen

Name

CPE 2.3infoanpassen

CPE 2.2infoanpassen

CVSSv3infoanpassen

VulDB Meta Base Score: 6.4
VulDB Meta Temp Score: 6.3

VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 7.5
CNA Vector (GitHub, Inc.): 🔒

CVSSv2infoanpassen

AVACAuCIA
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
🔍🔍🔍🔍🔍🔍
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfoanpassen

Klasse: Denial of Service
CWE: CWE-400
ATT&CK: T1499

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfoanpassen

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfoanpassen

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Marked 4.0.10
Patch: 8f806573a3f6c6b7a39b8cdb66ab5ebb8d55a5f5

Timelineinfoanpassen

16.11.2021 CVE zugewiesen
14.01.2022 +59 Tage Advisory veröffentlicht
14.01.2022 +0 Tage VulDB Eintrag erstellt
17.01.2022 +3 Tage VulDB letzte Aktualisierung

Quelleninfoanpassen

Advisory: GHSA-5v2h-r2cx-5xgj
Status: Bestätigt
Bestätigung: 🔒

CVE: CVE-2022-21681 (🔒)

Eintraginfoanpassen

Erstellt: 14.01.2022 20:53
Aktualisierung: 17.01.2022 21:19
Anpassungen: (2) advisory_confirm_url source_cve_nvd_summary
Komplett: 🔍

Kommentare

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

Do you need the next level of professionalism?

Upgrade your account now!