cbor-sync: Speicherauslastung durch ungeprüfte CBOR-Array- und Map-Längen
Zusammenfassung
Das Node.js-npm-Paket cbor-sync bis Version 1.0.4 vertraut in CBOR.decode den deklarierten Array- und Map-Längen, ohne sie gegen die verbleibenden Eingabedaten zu prüfen. Ein entfernter Angreifer, der einer Anwendung mit dieser Bibliothek CBOR-Daten liefern kann, kann eine sehr kleine Nutzlast mit extrem grossen Längen senden. Das Dekodieren verbraucht dann viel CPU und Speicher, was zum Absturz des Prozesses oder zu einer Denial-of-Service-Situation führen kann.
Betroffen
- cbor-sync (npm), Versionen 0 bis 1.0.4 (gemäss CVE-Eintrag)
- Herstellerstatus und korrigierte Version: Unbekannt.
Behoben in
- Keine bekannte korrigierte Release-Version.
- OSV listet einen korrigierten Git-Commit 35fdf44ce469ec34b7985f8463c806876fdb8d31, eine Release-Version, die diesen Commit bestätigt enthält, ist aber nicht bekannt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- CBOR-Daten aus nicht vertrauenswürdigen Quellen nicht ohne Validierung dekodieren.
- Eingabegrösse vor dem Dekodieren begrenzen.
- Den Decoder mit Speicher- und CPU-Limits oder in einem isolierten Prozess ausführen.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- Bekannt ausgenutzt: nein.
- EPSS ist niedrig (0.00538).
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Lockfiles und Abhängigkeitsbäume auf cbor-sync prüfen, einschliesslich transitiver Abhängigkeiten.
- Falls die Bibliothek nicht vertrauenswürdige Eingaben dekodiert, durch eine gepflegte CBOR-Bibliothek ersetzen, die Längen gegen die verfügbaren Daten prüft.
- Bis dahin Eingabegrösse begrenzen, Ressourcenlimits setzen und den Dekodierprozess isolieren.
- Das Repository des Maintainers auf eine korrigierte Release-Version überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- PelionIoT cbor-sync repository github.com
- cbor-sync issue #6 github.com
- cbor-sync pull request #4 github.com
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2020-37280 osv.dev
- OpenCVE CVE-2020-37280 app.opencve.io
- Tenable CVE-2020-37280 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.