CVE-2021-22553mediumCWE-400

CVE-2021-22553: falha de média gravidade em Google LLC Gerrit

Heap Memory exhaustion in Gerrit

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Gerrit

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 0.4%
Em resumo

O Gerrit não remove automaticamente as sessões criadas durante operações git, fazendo com que se acumulem na memória. Com o tempo, isso esgota a memória heap do servidor e pode derrubar o serviço.

Detalhe técnico

Operações git via Jetty criam sessões persistentes sem configuração de expiração; o Jetty não descarta automaticamente essas sessões, levando ao acúmulo ilimitado de memória. Um atacante pode disparar múltiplas operações git para esgotar a memória heap e causar negação de serviço. Requer acesso de rede para executar operações git contra o servidor Gerrit.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Any git operation is passed through Jetty and a session is created. No expiry is set for the session and Jetty does not automatically dispose of the session. Over multiple git actions, this can lead to a heap memory exhaustion for Gerrit servers. We recommend upgrading Gerrit to any of the versions listed above.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Produtos afetados
Google LLC · Gerrit