search

k1m0ch1 / axolotl

toolings for pentester to makes their life easier
MIT License
9 stars 2 forks source link

同学，您这个项目引入了21个开源组件，存在2个漏洞，辛苦升级一下 #1

Closed ghost closed 2 years ago

ghost commented 2 years ago

检测到 k1m0ch1/axolotl 一共引入了21个开源组件，存在2个漏洞

漏洞标题：go-yaml < 2.2.8拒绝服务漏洞
缺陷组件：gopkg.in/yaml.v2@v2.2.2
漏洞编号：CVE-2019-11254
漏洞描述：gopkg.in/yaml.v2是go语言中用于处理yaml格式的包。
在2.2.8之前的版本中，处理恶意的yaml数据时，会导致CPU资源耗尽。
漏洞由Kubernetes开发者在fuzz测试中发现并提交修复补丁。
国家漏洞库信息：https://www.cnvd.org.cn/flaw/show/CNVD-2020-35519
影响范围：(∞, 2.2.8)
最小修复版本：2.2.8
缺陷组件引入路径：github.com/k1m0ch1/axolotl@->gopkg.in/yaml.v2@v2.2.2

另外还有2个漏洞，详细报告：https://mofeisec.com/jr?p=a16b74

k1m0ch1 commented 2 years ago

@k1m0ch1，同学，您好，上面的漏洞报告是我IDE运行时，安全插件提示您这个项目存在的几个漏洞的报告，辛苦您修复一下哈，担心其他人也会用到你这个项目，从而引入这些漏洞。：）

Hi, thanks for your report, I'm barelly understand with the translate, but i will try to answer

So you refer with the CVE-2019-11254

But I don't see any case my project will be used on server or kube cluster. This is client side tools to help pentester reporting their findings locally