aeson < 2.0.1.0 存在拒绝服务漏洞
漏洞描述 aeson 是一个用于处理 JSON 数据的快速 Haskell 库。 aeson 在2.0.1.0之前的版本中存在拒绝服务漏洞。其原因是由于 aeson 库使用 HashMap 从 unordered-containers 库中处理 JSON 对象,unordered-containers 库使用 hashtable 库来处理其 HashMaps 的散列,其使用线性链接来存储冲突,时间成本为 O(n)。该 hashable 库使用的 FNV 哈希是不抗冲突的,攻击者能够生成一个恶意 JSON 对象,让 aeson 造成哈希碰撞,从而造成拒绝服务。 漏洞名称 aeson < 2.0.1.0 存在拒绝服务漏洞 漏洞类型 - 发现时间 2022-10-11 漏洞影响广度 极小 MPS编号 MPS-2022-59247 CVE编号 CVE-2022-3433 CNVD编号 - 影响范围 aeson@[0.1.0.0, 2.0.1.0) 修复方案 升级aeson到 2.0.1.0 或更高版本 参考链接 https://www.oscs1024.com/hd/MPS-2022-5...
