C#用のMessagePackはC#向けのMessagePackシリアライザです。バージョン2.5.301および3.1.7以前では、DynamicUnionResolverによって実行時に生成されるユニオンのデシリアライザが、再帰的なデシリアライズやスキップのパス周辺でMessagePackSecurity.DepthStep(ref reader)を呼び出さず、reader.Depthを減算しませんでした。これは、ユニオンのデシリアライズが他の再帰的なフォーマッタパスを保護する最大オブジェクトグラフ深度の制限に一貫して参加しなかったことを意味します。未知のユニオンキーに対して、生成されたデシリアライザは攻撃者が制御するデータに対して囲みの深度ステップなしにreader.Skip()を呼び出してしまいます。この脆弱性はバージョン2.5.301および3.1.7で修正されました。

ベンダ情報を参照して適切な対策を実施してください。