CVE-2021-41556
CriticalSummary
W pliku sqclass.cpp w Squirrel w wersjach do 2.2.5 oraz 3.x do 3.1 występuje podatność na odczyt poza zakresem, co może prowadzić do wykonania kodu. W przypadku, gdy ofiara uruchomi skrypt Squirrel kontrolowany przez atakującego, możliwe jest wydostanie się z piaskownicy skryptu, nawet jeśli wszystkie niebezpieczne funkcje, takie jak operacje na systemie plików, zostały wyłączone.
Risk Assessment
Atakujący może wykorzystać tę podatność do atakowania usług chmurowych, które pozwalają na dostosowywanie za pomocą skryptów Squirrel, lub do dystrybucji złośliwego oprogramowania przez gry wideo, które zawierają silnik Squirrel. To stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych użytkowników.
Recommendation
Zaleca się aktualizację Squirrel do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy ograniczyć możliwość uruchamiania skryptów Squirrel w środowiskach, gdzie nie jest to konieczne.
Original NVD description (English source)
sqclass.cpp in Squirrel through 2.2.5 and 3.x through 3.1 allows an out-of-bounds read (in the core interpreter) that can lead to Code Execution. If a victim executes an attacker-controlled squirrel script, it is possible for the attacker to break out of the squirrel script sandbox even if all dangerous functionality such as File System functions has been disabled. An attacker might abuse this bug to target (for example) Cloud services that allow customization via SquirrelScripts, or distribute malware through video games that embed a Squirrel Engine.