Все бюллетени/p10/ALT-PU-2026-15760-2
ALT-PU-2026-15760-2

Обновление пакета protobuf в ветке p10

Версия3.21.12-alt5.p10.1
Задание#433286
Опубликовано2026-09-24
Макс. серьёзностьHIGH
Серьёзность:

Закрытые проблемы (6)

BDU:2024-07527
HIGH7.5

Уязвимость библиотеки среды выполнения Java Protocol Buffers protobuf-java, связанная с недостаточной проверкой входных данных, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-09-26Изменено: 2026-02-09
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2026-05124
HIGH8.6

Уязвимость протокола сериализации данных Protobuf, связанная с неконтролируемой рекурсией, позволяющая нарушителю вызывать отказ в обслуживании

Опубликовано: 2026-04-13Изменено: 2026-08-31
CVSS 3.xВЫСОКАЯ 8.6
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
CVE-2024-7254
HIGH8.7

Any project that parses untrusted Protocol Buffers data containing an arbitrary number of nested groups / series of SGROUP tags can corrupted by exceeding the stack limit i.e. StackOverflow. Parsing nested groups as unknown fields with DiscardUnknownFieldsParser or Java Protobuf Lite parser, or against Protobuf map fields, creates unbounded recursions that can be abused by an attacker.

Опубликовано: 2024-09-18Изменено: 2026-06-17
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 4.0ВЫСОКАЯ 8.7
CVSS:4.0/CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Ссылки
CVE-2026-0994
HIGH8.2

A denial-of-service (DoS) vulnerability exists in google.protobuf.json_format.ParseDict() in Python, where the max_recursion_depth limit can be bypassed when parsing nested google.protobuf.Any messages. Due to missing recursion depth accounting inside the internal Any-handling logic, an attacker can supply deeply nested Any structures that bypass the intended recursion limit, eventually exhausting Python’s recursion stack and causing a RecursionError.

Опубликовано: 2026-01-23Изменено: 2026-09-01
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 4.0ВЫСОКАЯ 8.2
CVSS:4.0/CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Ссылки
GHSA-735f-pc8j-v9w8
HIGH8.7

protobuf-java has potential Denial of Service issue

Опубликовано: 2024-09-19Изменено: 2025-09-10
CVSS 3.x
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 4.0ВЫСОКАЯ 8.7
CVSS:4.0/CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Ссылки
GHSA-7gcm-g887-7qv7
HIGH8.2

protobuf affected by a JSON recursion depth bypass

Опубликовано: 2026-01-23Изменено: 2026-02-05
CVSS 4.0ВЫСОКАЯ 8.2
CVSS:4.0/CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L
Ссылки