Vulnerabilidad en Apollo Router Core (CVE-2025-32033)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-119
Restricción de operaciones inapropiada dentro de los límites del búfer de la memoria
Fecha de publicación:
07/04/2025
Última modificación:
08/04/2025
Descripción
Apollo Router Core es un enrutador de gráficos configurable y de alto rendimiento, escrito en Rust, para ejecutar un supergrafo federado que utiliza Apollo Federation 2. Antes de las versiones 1.61.2 y 2.1.1, el complemento de los límites de operación utilizaba enteros de 32 bits sin signo para controlar los contadores de los límites (por ejemplo, la altura de una consulta). Si un contador superaba el valor máximo para este tipo de dato (4 294 967 295), se reiniciaba a 0, lo que permitía involuntariamente que las consultas superaran los umbrales configurados. Esto podía ocurrir en consultas grandes si el límite de payload se aumentaba lo suficiente, pero también en consultas pequeñas con fragmentos con nombre profundamente anidados y reutilizados. Esto se ha solucionado en las versiones 1.61.2 y 2.1.1 de apollo-router.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA