[TLP:CLEAR] Debian opravuje 4 zraniteľnosti v knižnici GNU C
spoločnosť Qualys upozorňuje na 4 zraniteľnosti v knižnici glibc (GNU C), pričom 3 z nich majú pridelené CVE identifikátory a týkajú sa funkcie __vsyslog_internal(), ktorá je volaná funkciami syslog() a vsyslog(). Posledná zraniteľnosť sa týka funkcie qsort(). Zraniteľnosť zatiaľ opravil iba Debian, a to vo vydaní bookworm verziou 2.36-9+deb12u4. Vydania buster a bullseye zraniteľné nie sú.
Lokálnemu útočníkovi je umožnené pomocou špeciálne vytvorených vstupov určených pre spomínané logovacie funkcie spôsobiť pretečenie hromady, čo môže spôsobiť získanie administrátorských práv [1].
Zraniteľnosť sa nachádza v produkte:
- >2.36
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2023-6246 na cve.org, NVD
- CWE-1284 na cwe.mitre.org
- CWE-788 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 30. 1. 2024.
Lokálnemu útočníkovi je umožnené spôsobiť pretečenie hromady, čo môže viesť k pádu aplikácie (DoS) [2][1].
Zraniteľnosť sa nachádza v produkte:
- >2.36
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Viac informácií:
- CVE-2023-6780 na cve.org, NVD
- CWE-680 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 30. 1. 2024.
Lokálnemu útočníkovi je umožnené spôsobiť pretečenie hromady, čo môže viesť k pádu aplikácie (DoS) [3][1].
Zraniteľnosť sa nachádza v produkte:
- >2.36
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2023-6779 na cve.org, NVD
- CWE-788 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 30. 1. 2024.
Lokálnemu útočníkovi je za určitých okolností umožnené poškodiť údaje v pamäti [1].
Zraniteľnosť sa nachádza v produkte:
- >2.36
Viac informácií:
- CWE-1218 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 30. 1. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dňa 31. 1. 2024.