Wysoka

A potential Denial of Service issue in protobuf-java

Ujawniono: 07.01.2022
Aktualizacja: 11.10.2026 13:19

Summary

A potential Denial of Service issue in protobuf-java was discovered in the parsing procedure for binary data.

Affected versions: All versions of Java Protobufs (including Kotlin and JRuby) prior to the versions listed below. Protobuf "javalite" users (typically Android) are not affected.

Severity

CVE-2021-22569 High - CVSS Score: 7.5, An implementation weakness in how unknown fields are parsed in Java. A small (~800 KB) malicious payload can occupy the parser for several minutes by creating large numbers of short-lived objects that cause frequent, repeated GC pauses.

Proof of Concept

For reproduction details, please refer to the oss-fuzz issue that identifies the specific inputs that exercise this parsing weakness.

Remediation and Mitigation

Please update to the latest available versions of the following packages:

protobuf-java (3.16.1, 3.18.2, 3.19.2)
protobuf-kotlin (3.18.2, 3.19.2)
google-protobuf [JRuby gem only] (3.19.2)

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	com.google.protobuf:protobuf-java	< 3.16.1, >= 3.18.0, < 3.18.2, >= 3.19.0, < 3.19.2	3.16.1, 3.18.2, 3.19.2
Java / Kotlin (Maven)	com.google.protobuf:protobuf-kotlin	>= 3.18.0, < 3.18.2, >= 3.19.0, < 3.19.2	3.18.2, 3.19.2

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-696
Platforma: Java / Kotlin (Maven)
Paczka: com.google.protobuf:protobuf-java, com.google.protobuf:protobuf-kotlin
Ujawniono: 07.01.2022
Aktualizacja: 11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-wrvw-hg22-4m67 - CC BY 4.0

Historia podatności: com.google.protobuf:protobuf-java

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 01.2022 09.2024
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 5
Średnia 1

Ujawnienia w latach

2022: 5
2023: 0
2024: 1
2025: 0
2026: 0

19.09.2024

protobuf-java has potential Denial of Service issue

Wysoka · 7.5 CVE-2024-7254 < 3.25.5, >= 4.0.0-RC1, < 4.27.5, >= 4.28.0-RC1, < 4.28.2 3.25.5, 4.27.5, 4.28.2
12.12.2022

Protobuf Java vulnerable to Uncontrolled Resource Consumption

Wysoka · 7.5 CVE-2022-3509 >= 3.0.0, < 3.16.3, >= 3.17.0, < 3.19.6, >= 3.20.0, < 3.20.3, >= 3.21.0, < 3.21.7 3.16.3, 3.19.6, 3.20.3, 3.21.7
12.12.2022

Protobuf Java vulnerable to Uncontrolled Resource Consumption

Wysoka · 7.5 CVE-2022-3510 >= 3.0.0, < 3.16.3, >= 3.17.0, < 3.19.6, >= 3.20.0, < 3.20.3, >= 3.21.0, < 3.21.7 3.16.3, 3.19.6, 3.20.3, 3.21.7
04.10.2022

protobuf-java has a potential Denial of Service issue

Średnia · 5.7 CVE-2022-3171 >= 3.21.0-rc-1, < 3.21.7, >= 3.20.0-rc-1, < 3.20.3, >= 3.17.0-rc-1, < 3.19.6, < 3.16.3 3.21.7, 3.20.3, 3.19.6, 3.16.3
26.01.2022

Nullptr dereference when a null char is present in a proto symbol. The symbol is parsed incorrectly, leading to an unchecked call into the proto file's name during generation of the resulting error me

Wysoka · 7.5 CVE-2021-22570 < 3.15.0 3.15.0
07.01.2022

A potential Denial of Service issue in protobuf-java ten wpis

Wysoka · 7.5 CVE-2021-22569 < 3.16.1, >= 3.18.0, < 3.18.2, >= 3.19.0, < 3.19.2 3.16.1, 3.18.2, 3.19.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację