拒绝服务 via 可达断言 · CVE-2022-24777

发布日期：2022年3月23日 最后更新：2024年2月9日 严重程度：高 (CVSS 3.1 评分: 7.5)

受影响的产品

• 包: swift (github.com/grpc/grpc-swift)
• 受影响版本: < 1.7.2
• 已修复版本: 1.7.2

漏洞详情

一个 grpc-swift 服务器容易受到通过可达断言 (reachable assertion) 发起的拒绝服务 (Denial of Service) 攻击。这是由于处理 GOAWAY 帧时的逻辑错误导致的。

此攻击是低成本的：构造和发送所需的帧序列所需的资源非常少。对可用性的影响是高的，因为服务器将崩溃，丢弃所有正在进行的连接和请求。

该问题是通过自动化模糊测试发现的，并通过修复相关的状态处理代码得以解决。

参考资料

• GHSA-r6ww-5963-7r95
• https://nvd.nist.gov/vuln/detail/CVE-2022-24777
• 修复提交: grpc/grpc-swift@858f977

严重性分析 (CVSS v3.1)

基础指标：

• 攻击向量 (AV): 网络 (N)
• 攻击复杂度 (AC): 低 (L)
• 所需权限 (PR): 无 (N)
• 用户交互 (UI): 无 (N)
• 作用域 (S): 未改变 (U)
• 机密性影响 (C): 无 (N)
• 完整性影响 (I): 无 (N)
• 可用性影响 (A): 高 (H)

向量字符串: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

弱点 (CWE)

• CWE-617: 可达断言
  • 产品包含一个 assert() 或类似的语句，攻击者可以触发它，从而导致应用程序退出或其他比必要情况更严重的行为。