YAML Go package vulnerable to denial of service

中 5.5CVE-2021-4235 · GHSA-r88r-gmrh-7j83 · GO-2021-0061 · 27/12/2022 公開 · 17/06/2026 更新

要点

CVE-2021-4235 は github.com/go-yaml/yaml, gopkg.in/yaml.v2, yaml (yaml project) に影響する深刻度「中」 (CVSS 5.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.43%（全脆弱性の 37.0% より高い）。
対処：2.2.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/go-yaml/yaml Go	`≤ 2.1.0全バージョン`	修正版なし
gopkg.in/yaml.v2 Go	`< 2.2.3`	`2.2.3`
yaml yaml_project	`< 2.2.3`	`2.2.3`

概要

Due to unbounded alias chasing, a maliciously crafted YAML file can cause the system to consume significant system resources. If parsing user input, this may be used as a denial of service vector.

NVD の説明

Due to unbounded alias chasing, a maliciously crafted YAML file can cause the system to consume significant system resources. If parsing user input, this may be used as a denial of service vector.

参考情報

nvd.nist.gov/vuln/detail/CVE-2021-4235 · ADVISORY
go-yaml/yaml#375 · WEB
go-yaml/yaml commit bb4e33b · WEB
go-yaml/yaml · PACKAGE
lists.debian.org/debian-lts-announce/2023/07/msg00001.html · WEB
pkg.go.dev/vuln/GO-2021-0061 · WEB

github.com/go-yaml/yaml のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

github.com/go-yaml/yaml

≤ 2.1.0全バージョン

修正版なし

gopkg.in/yaml.v2

< 2.2.3

2.2.3

yaml

yaml_project

< 2.2.3

2.2.3

概要

Due to unbounded alias chasing, a maliciously crafted YAML file can cause the system to consume significant system resources. If parsing user input, this may be used as a denial of service vector.

NVD の説明

Due to unbounded alias chasing, a maliciously crafted YAML file can cause the system to consume significant system resources. If parsing user input, this may be used as a denial of service vector.