漏洞关键信息 漏洞编号: JVN#86156389 漏洞标题: Remarshal unlimitedly expanding YAML alias nodes 概述 Remarshal expands YAML alias nodes unlimitedly, vulnerable to Billion-laughs Attack. 影响产品 Remarshal versions prior to v0.17.1 描述 Remarshal 扩展 YAML 别名节点无限，因此易受 Billion Laughs 攻击影响（CWE-674）。 影响 处理不受信任的 YAML 文件可能导致拒绝服务 (DoS) 条件。 解决方案 更新软件: 升级到最新版本，根据开发人员提供的信息更新。开发人员已发布以下版本以解决此漏洞。 - Remarshal v0.17.1 厂商状态 厂商: Remarshal Project 链接: v0.17.1 - fix(yaml): 限制最大节点数 参考 1. yaml-spec issue#45: 当前版本的 YAML 规范可能使某些实现容易受到拒绝服务攻击的影响。 JPCERT/CC的附录 漏洞分析 CVSS v3: - 评分向量: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H - 基准分数: 5.5 CVSS v2: - 评分向量: AV:N/AC:M/Au:N/C:N/I:N/A:P - 基准分数: 4.3 评论 该分析假设受害者用户被引导处理某个伪造的 YAML 文件。 致谢 台一驹太郎 和 Sierra Security Co., Ltd. / Akatsuki Games Inc. 向 IPA 报告了此漏洞。JPCERT/CC 在信息安全早期预警合作伙伴关系下与开发人员协调。 其他信息 CVE: CVE-2023-47163 JVN iPedie: JVNDK-2023-000111