A Arnott

**Nome do Software Vulnerável e Versões Afetadas** MessagePack for C# versões anteriores a 2.5.301 MessagePack for C# versões anteriores a 3.1.7 **Description** MessagePack for C# é um serializador MessagePack para C#. A função `ReadDateTime()` no `MessagePackReader` pode alocar memória de pilha com base em um comprimento de extensão MessagePack controlado por um invasor. No caminho lento para a análise de extensão de timestamp, o `tokenSize` computado inclui o comprimento do corpo da extensão vindo da rede e é usado em uma operação `stackalloc` antes que o comprimento da extensão seja validado como um dos tamanhos de timestamp válidos. Um payload muito pequeno pode reivindicar um corpo de extensão de timestamp grande e causar uma alocação de pilha grande o suficiente para disparar uma StackOverflowException (um erro crítico que ocorre quando a pilha de execução excede sua memória alocada) impossível de capturar, encerrando o processo hospedeiro. **Recommendations** Atualizar para a versão 2.5.301. Atualizar para a versão 3.1.7.