CVE-2023-50730

Grackle è un server GraphQL scritto in Scala funzionale, basato sulla stack Typelevel. La specifica GraphQL richiede che i frammenti GraphQL non formino cicli, né direttamente né indirettamente. Prima della versione 0.18.0 di Grackle, tale requisito non veniva verificato, e le query con frammenti ciclici venivano accettate per il controllo del tipo e la compilazione. La compilazione tentata di tali frammenti avrebbe causato un `StackOverflowError` JVM. Tuttavia, una conoscenza dello schema GraphQL di un’applicazione era necessaria per costruire una tale query; non era invece richiesta alcuna conoscenza delle caratteristiche di performance o altri comportamenti specifici dell’applicazione.

Grackle utilizza la libreria cats-parse per il parsing delle query GraphQL. Prima della versione 0.18.0, Grackle impiegava l’operatore `recursive` di cats-parse. Tuttavia, `recursive` non è attualmente stack-safe. `recursive` veniva usato in tre punti del parser: set di selezione annidati, valori di input annidati (liste e oggetti) e dichiarazioni di tipo lista annidate. Di conseguenza, si potevano costruire query con set di selezione, valori di input o tipi di lista profondamente annidati, sfruttando questa vulnerabilità, causando un `StackOverflowException` JVM durante il parsing. Poiché ciò avviene molto presto nel processo di parsing della query, non era richiesta alcuna conoscenza specifica dello schema GraphQL di un’applicazione per costruire una tale query.

La possibilità che query di piccole dimensioni causino overflow dello stack rappresenta una potenziale vulnerabilità di denial of service. Questo problema potrebbe interessare tutte le applicazioni che utilizzano Grackle e che hanno utenti non affidabili. Entrambi i problemi di overflow dello stack sono stati risolti nella versione v0.18.0 di Grackle. Come soluzione temporanea, gli utenti potevano inserire uno strato di sanificazione tra input non affidabili e l’elaborazione delle query di Grackle.