io.spray:spray-json < 1.3.5 存在拒绝服务漏洞

CVE编号

CVE-2018-18855

利用情况

暂无

补丁情况

N/A

披露时间

2022-06-29

漏洞描述

io.spray:spray-json 是 Scala 中的 JSON 实现。 io.spray:spray-json 的受影响版本中的 JsonParser 由于不受控制的递归，在解析深度的嵌套递归 Json 数据时会产生 “StackOverflowExceptions”异常。攻击者可通过传入恶意构造的 Json 数据造成拒绝服务（资源消耗）。

解决建议

"将组件 io.spray:spray-json_2.10 升级至 1.3.5 及以上版本""将组件 io.spray:spray-json_2.11 升级至 1.3.5 及以上版本""将组件 io.spray:spray-json 升级至 1.3.5 及以上版本""将组件 io.spray:spray-json_2.12 升级至 1.3.5 及以上版本"

参考链接
https://github.com/advisories/GHSA-ww3v-6xjf-jv28
https://github.com/spray/spray-json/pull/284
https://security.snyk.io/vuln/SNYK-JAVA-IOSPRAY-72601

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com