GHSA-5c6j-r48x-rmvq: serialize-javascript RCE – CVE-2021-22553

CVE-2021-22553 Gerrit को प्रभावित करता है, जो एक Git-आधारित कोड समीक्षा प्रणाली है। यह भेद्यता Jetty के तरीके में निहित है, जो Gerrit द्वारा उपयोग किया जाने वाला वेब सर्वर, सत्रों को कैसे संभालता है। प्रत्येक Git ऑपरेशन जो निष्पादित होता है, वह Jetty के माध्यम से गुजरता है और एक सत्र बनाता है। समस्या यह है कि इन सत्रों की कोई समाप्ति तिथि नहीं होती है और Jetty उन्हें स्वचालित रूप से नष्ट नहीं करता है। इससे सत्रों का अत्यधिक संचय हो सकता है, जिससे सर्वर मेमोरी धीरे-धीरे समाप्त हो जाती है, अंततः हिप मेमोरी की कमी (heap memory exhaustion) हो जाती है। इस भेद्यता की गंभीरता को CVSS पैमाने पर 6.5 के रूप में रेट किया गया है। बड़ी मात्रा में Git संचालन को संसाधित करने वाले Gerrit सर्वर विशेष रूप से इस समस्या के प्रति संवेदनशील हैं।

Organizations heavily reliant on Gerrit for code review, particularly those with large development teams or frequent Git activity, are at increased risk. Environments with limited server resources or inadequate monitoring practices are also more vulnerable. Teams using older Gerrit versions without robust session management configurations are particularly exposed.

• java / server:

ps -ef | grep gerrit | grep -v grep | awk '{print $2}' | xargs -I {} jstat -gc {} 2>&1 | grep -i 'HeapUsage' 

• java / server: Monitor Gerrit's memory usage using tools like JConsole or VisualVM. Look for steadily increasing heap usage without corresponding decreases. • java / server: Check Gerrit's Jetty configuration for session timeout settings. Ensure that session timeouts are properly configured to prevent unbounded session creation. • java / server: Review Gerrit logs for errors related to memory allocation or Jetty session management.

1. 2021-02-17Disclosure

   disclosure

1. आरक्षित2021-01-05
2. प्रकाशित2021-02-17
3. संशोधित2024-09-16
4. EPSS अद्यतन2026-04-02

CVE-2021-22553 को कम करने के लिए अनुशंसित समाधान Gerrit को संस्करण 3.3.2 या बाद के संस्करण में अपग्रेड करना है। यह अपडेट Jetty सत्र प्रबंधन के उचित तरीके को लागू करके इस समस्या को ठीक करता है, जिसमें समाप्ति समय निर्धारित करना और निष्क्रिय सत्रों को स्वचालित रूप से नष्ट करना शामिल है। आपके Gerrit सर्वरों पर संभावित प्रदर्शन और स्थिरता समस्याओं से बचने के लिए इस अपडेट को जल्द से जल्द लागू करना महत्वपूर्ण है। यदि तत्काल अपग्रेड संभव नहीं है, तो सर्वर मेमोरी उपयोग की निगरानी करने और समवर्ती Git संचालन की संख्या को सीमित करने के लिए कदम उठाने पर विचार करें।