YamlDotNet 安全漏洞

漏洞信息详情

YamlDotNet 安全漏洞

CNNVD编号：CNNVD-201807-1163
危害等级：高危-->
危害等级：高危
CVE编号： CVE-2018-1000210
漏洞类型：其他
发布时间： 2018-07-13
威胁类型：本地
更新时间： 2020-10-23
厂商： yamldotnet_project
漏洞来源：

漏洞简介

YamlDotNet是一个YAML（标记语言）的.NET库，它主要提供YAML的低级解析和发送，并包括一个序列化库。

YamlDotNet 4.3.2及之前版本中的‘Deserializer()’函数的默认行为存在安全漏洞，该漏洞源于程序没有安全的实例化‘currentType = Type.GetType(nodeEvent.Tag.Substring(1), throwOnError： false);’行中由用户控制的类型。攻击者可借助特制的YAML文件利用该漏洞执行代码。

漏洞公告

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/aaubry/YamlDotNet#version-500

参考网址

来源:CONFIRM

链接:https://github.com/aaubry/YamlDotNet#version-500

来源:CONFIRM

链接:https://github.com/aaubry/YamlDotNet/blob/f96b7cc40a0498f8bafdeb49df3aa23aa2c60993/YamlDotNet/Serialization/NodeTypeResolvers/TypeNameInTagNodeTypeResolver.cs#L35

受影响实体

Yamldotnet_project Yamldotnet:4.3.2

补丁

YamlDotNet 安全漏洞的修复措施

正文

YamlDotNet 安全漏洞

漏洞信息详情