CVE-2020-5234

MessagePack para C# e Unity, versões 1.9.3 a 1.9.10

MessagePack para C# e Unity, versões 2.1.80 a 2.1.89

A vulnerabilidade permite que dados não confiáveis provoquem um ataque de negação de serviço devido a colisões de hash e estouro de pilha ao deserializar dados do MessagePack provenientes de uma fonte não confiável. Isso pode resultar em alto consumo de CPU ou na falha do processo de deserialização.

Para o MessagePack para C# e Unity, versões 1.9.3 a 1.9.10, atualize para qualquer versão 1.9.x, coloque o MessagePack em um modo mais seguro com MessagePackSecurity.Active = MessagePackSecurity.UntrustedData; e gere novamente qualquer código produzido pelo mpc com a versão corrigida.

Para o MessagePack para C# e Unity nas versões 2.1.80 a 2.1.89, atualize para qualquer versão 2.1.x ou posterior, coloque o MessagePack em um modo mais seguro configurando a propriedade MessagePackSerializerOptions.Security e gere novamente qualquer código produzido pelo mpc com a versão corrigida.

Como solução alternativa temporária, considere evitar totalmente os formatadores integrados, optando por ler os dados primitivos do MessagePack diretamente ou por utilizar formatadores personalizados cuidadosamente escritos.