CVE-2023-45290

一、漏洞信息
 漏洞编号：[CVE-2023-45290](https://nvd.nist.gov/vuln/detail/CVE-2023-45290)
 漏洞归属组件：[etcd](https://gitee.com/src-openeuler/etcd)
 漏洞归属的版本：3.4.14,3.4.7
 CVSS V3.0分值：
  BaseScore：N/A None
  Vector：CVSS：3.0/
 漏洞简述：
  When parsing a multipart form (either explicitly with Request.ParseMultipartForm or implicitly with Request.FormValue, Request.PostFormValue, or Request.FormFile), limits on the total size of the parsed form were not applied to the memory consumed while reading a single form line. This permits a maliciously crafted input containing very long lines to cause allocation of arbitrarily large amounts of memory, potentially leading to memory exhaustion. With fix, the ParseMultipartForm function now correctly limits the maximum size of form lines.
 漏洞公开时间：2024-03-06 07:15:07
 漏洞创建时间：2024-09-05 02:08:18
 漏洞详情参考链接：
  https://nvd.nist.gov/vuln/detail/CVE-2023-45290
<details>
<summary>更多参考(点击展开)</summary>

无
</details>

漏洞分析指导链接：
  https://gitee.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
 漏洞数据来源:
  openBrain开源漏洞感知系统
 漏洞补丁信息：
  <details>
<summary>详情(点击展开)</summary>

无
</details>

二、漏洞分析结构反馈
 影响性分析说明：
                  在解析多部分表单（无论是通过Request.ParseMultipartForm显式解析，还是通过Request.FormValue、Request.PostFormValue或Request.FormFile隐式解析）时，原先对解析表单总大小的限制并不适用于读取单个表单项时所消耗的内存。这允许恶意构造的输入（包含非常长的行）导致任意大量内存的分配，可能最终引起内存耗尽。修复后，ParseMultipartForm函数现在正确地限制了表单行的最大尺寸，从而防止了因处理超长行而导致的内存过度分配问题，提高了系统的稳定性和安全性，避免了潜在的资源耗尽风险。上游patch修复链接:https://github.com/golang/go/commit/041a47712e765e94f86d841c3110c840e76d8f82，此问题为golang问题，针对受影响的分支，golang修复后重编其对应分支即可。        
 openEuler评分：
  6.5
 Vector：CVSS：3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
 受影响版本排查(受影响/不受影响)：
  1.master(3.4.14):受影响
2.openEuler-20.03-LTS-SP1:受影响
3.openEuler-20.03-LTS-SP4:受影响
4.openEuler-22.03-LTS:受影响
5.openEuler-22.03-LTS-Next:受影响
6.openEuler-22.03-LTS-SP1:受影响
7.openEuler-22.03-LTS-SP2:受影响
8.openEuler-22.03-LTS-SP3:受影响
9.openEuler-24.03-LTS:受影响
10.openEuler-22.03-LTS-SP4:受影响
11.openEuler-24.03-LTS-Next:受影响
12.openEuler-24.03-LTS-SP1:受影响
13.openEuler-24.03-LTS-SP2:受影响

修复是否涉及abi变化(是/否)：
  1.master(3.4.14):否
2.openEuler-20.03-LTS-SP1:否
3.openEuler-20.03-LTS-SP4:否
4.openEuler-22.03-LTS:否
5.openEuler-22.03-LTS-Next:否
6.openEuler-22.03-LTS-SP1:否
7.openEuler-22.03-LTS-SP2:否
8.openEuler-22.03-LTS-SP3:否
9.openEuler-24.03-LTS:否
10.openEuler-22.03-LTS-SP4:否
11.openEuler-24.03-LTS-Next:否
12.openEuler-24.03-LTS-SP1:否
13.openEuler-24.03-LTS-SP2:否

原因说明：
  1.master(3.4.14):正常修复
2.openEuler-20.03-LTS-SP1:正常修复
3.openEuler-20.03-LTS-SP4:正常修复
4.openEuler-22.03-LTS:正常修复
5.openEuler-22.03-LTS-Next:正常修复
6.openEuler-22.03-LTS-SP1:正常修复
7.openEuler-22.03-LTS-SP2:正常修复
8.openEuler-22.03-LTS-SP3:正常修复
9.openEuler-24.03-LTS:正常修复
10.openEuler-22.03-LTS-SP4:正常修复
11.openEuler-24.03-LTS-Next:正常修复
12.openEuler-24.03-LTS-SP1:正常修复
13.openEuler-24.03-LTS-SP2:正常修复

src-openEuler/etcd

Content Risk Flag

Comments (23)

src-openEuler/etcd .gitee-modal { width: 500px !important; }

Content Risk Flag

CVE-2023-45290

Comments (23)

Search

src-openEuler/etcd