Go golang.org/x/image/tiff CVE-2023-29408 DoS Fix via PackBits Output Limit

脆弱性概要 脆弱性名称: CVE-2023-29408 概要: 関数には出力サイズの制限がありません。LZW、Deflate、CCITT 復号化に使用される は制限を強制していますが、PackBits パスは を完全に回避しています。これにより、PackBits 圧縮された TIFF ファイル（29MB）が 745MB（372 倍に膨張）まで解凍されることが可能となります。 影響範囲 影響を受けるコンポーネント: 復号化パス 潜在的リスク: PackBits 圧縮された TIFF ファイルにより、メモリー不足またはサービス拒否攻撃（DoS）を引き起こす可能性があります。 修正方案 修正内容: に制限パラメータを追加し、既存の メソッドと整合性を保つため と一致させました。 更新: ライブラリを更新しました。 変更 ID: コードブロック その他情報 コミッター: GerritBot アップローダー: Damien Neil 作者: mohammadshameem hue レビューアー: Nigel Tao, Dmitri Shuralyov, Nat Patel コミット日: 5月22日 リポジトリ/ブランチ: image タグ: no-owners コメントとチェック コードレビュー: 承認済み 未解決のコメントなし: 要件充足済み レビュー強制: 要件充足済み Trybots 合格: 合格済み 自動コミット: 有効 変更ログ Gopher Robot: 長い行や作者情報の欠如など、PR 内でいくつかの潜在的な問題を指摘しました。 ファイル変更 tiff/compress.go: -2 行変更、+6 行追加 tiff/reader.go: -1 行変更、+1 行追加 tiff/reader_test.go: -4 行変更、+8 行追加 まとめ 本脆弱性は、 復号化パスにおける出力サイズの制限欠如に関連しており、メモリー不足やサービス拒否攻撃を引き起こす可能性があります。修正方案では、制限パラメータを追加することで既存の メソッドと整合性を確保し、このような問題を防止しています。

目標達成 すべての支援者に感謝 — 100%達成しました！

Go golang.org/x/image/tiff CVE-2023-29408 DoS Fix via PackBits Output Limit

目標達成すべての支援者に感謝 — 100%達成しました！