中危 Grails® 数据绑定导致 JVM 崩溃和/或 DoS (CVE-2023-46131)

CVE编号

CVE-2023-46131

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-12-21

漏洞描述

Grails是一种使用Groovy编程语言构建Web应用程序的框架。通过精心构造的Web请求可能导致JVM崩溃或拒绝服务。任何使用Grails数据绑定的Grails框架应用程序都存在漏洞。该问题已在3.3.17、4.1.3、5.3.4、6.1.0版本中修补。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/grails/grails-core/commit/74326bdd2cf7dcb594092165e9464520f8366c60
https://github.com/grails/grails-core/commit/c401faaa6c24c021c758b95f72304a0e855a8db3
https://github.com/grails/grails-core/issues/13302
https://github.com/grails/grails-core/security/advisories/GHSA-3pjv-r7w4-2cf5
https://grails.org/blog/2023-12-20-cve-data-binding-dos.html

阿里云评分 6.1

• 攻击路径 本地
• 攻击复杂度 困难
• 权限要求 普通权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-400	未加控制的资源消耗（资源穷尽）

Exp相关链接

- avd.aliyun.com