Golang Facebook Thrift servers vulnerable to denial of service

高 7.5CVE-2019-11939 · GHSA-w3r9-r9w7-8h48 · GO-2021-0082 · 18/03/2020 公開 · 17/06/2026 更新

要点

CVE-2019-11939 は github.com/facebook/fbthrift, thrift (facebook) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.6%（全脆弱性の 75.2% より高い）。
対処：0.31.1-0.20200311080807-483ed864d69f, 2020.03.16.00 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/facebook/fbthrift Go	`< 0.31.1-0.20200311080807-483ed864d69f`	`0.31.1-0.20200311080807-483ed864d69f`
thrift facebook	`< 2020.03.16.00`	`2020.03.16.00`

概要

Golang Facebook Thrift servers would not error upon receiving messages declaring containers of sizes larger than the payload. As a result, malicious clients could send short messages which would result in a large memory allocation, potentially leading to denial of service. This issue affects Facebook Thrift prior to v2020.03.16.00.