„`html
Zusammenfassung
Eine Schwachstelle wurde in der JavaScript-Bibliothek jsonata-js (Version bis 2.2.0) identifiziert. Die Vulnerabilität befindet sich in der createFrame-Funktion der Datei src/jsonata.js und ermöglicht eine unkontrollierte Modifizierung von Objekt-Prototyp-Attributen. Die Schwachstelle wird als Medium-Risiko (CVSS 5.3) eingestuft und ist bereits öffentlich exploitierbar.
Betroffene Systeme
Alle Systeme, die jsonata-js in Version 2.2.0 oder älter verwenden, sind von dieser Schwachstelle betroffen. Dies umfasst insbesondere:
- Web-Anwendungen mit eingebetteter jsonata-Bibliothek
- Node.js-basierte Systeme
- Server-seitige Datenverarbeitungssysteme
Technische Details
Die Vulnerabilität liegt in der fehlerhaften Implementierung des Function Binding Frame System. Die createFrame-Funktion validiert und filtert benutzereingaben nicht ausreichend, bevor Objekt-Prototyp-Attribute modifiziert werden.
Ein Angreifer kann durch speziell crafted Eingaben das Prototyp-Poisoning-Angriffsmuster ausnutzen. Dies ermöglicht die Manipulation von globalen Objekteigenschaften und potenziell die Ausführung von unautorisierten Code-Pfaden. Der Angriffsvektor ist netzwerk-basiert, keine spezielle Authentifizierung ist erforderlich.
Empfohlene Massnahmen
- Sofortige Massnahme: Aktualisierung auf eine gepatchte Version (> 2.2.0) durchfĂĽhren
- Temporäre Mitigationen: Input-Validierung auf Anwendungsebene implementieren
- Monitoring: Logs auf ungewöhnliche jsonata-Funktionsaufrufe überwachen
- Inventur: Alle eingesetzten Versionen von jsonata-js identifizieren und dokumentieren
Bewertung
CVSS Score: 5.3 (Medium)
Status: Ungepatcht | Ă–ffentlich exploitierbar
Vendor-Response: Keine Reaktion des Herstellers dokumentiert
Priorität: Hoch – Aufgrund öffentlicher Verfügbarkeit von Exploits sollte die Aktualisierung kurzfristig erfolgen
„`