JSON5 Prototype混淆漏洞 CVE-2022-46175
- CNNVD編號：未知
- 危害等級： 高危
- CVE編號：CVE-2022-46175
- 漏洞類型： 類型混淆
- 威脅類型：未知
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時間：2023-03-17
- 更新時間：2023-03-17
漏洞簡介
2022年12月30日，深信服安全團隊監(jiān)測到一則JSON5組件存在類型混淆漏洞的信息，漏洞編號：CVE-2022-46175，漏洞威脅等級：高危。
該漏洞是由于JSON5庫的“parse”方法在2.2.1及之前的版本，未正確限制名為“__proto__”的鍵的解析，從而允許特制的字符串混淆生成對象的原型。攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行類型混淆攻擊，造成的后果可能包括拒絕服務(wù)、跨站腳本、權(quán)限提升等，在特殊場景下可能存在遠程代碼執(zhí)行。
漏洞公示
暫無
參考網(wǎng)站
https://github.com/json5/json5/security/advisories/GHSA-9c47-m6qq-7p4h
受影響實體
JSON5是多種大型項目兼容的擴展包，可以運行在幾乎所有計算機平臺上，是一款較為流行的JSON解析和序列化軟件包?？赡苁苈┒从绊懙馁Y產(chǎn)廣泛分布于世界各地。
目前受影響的JSON5版本：
JSON5 < 2.2.2
補丁
官方修復(fù)建議
當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時更新升級到最新版本。鏈接如下：
https://json5.org/
打補丁/升級方法:
如果是利用npm安裝和管理的，可執(zhí)行以下命令更新當(dāng)前json5 版本：
npm update json5
