CVE-2023-46045
MediumSummary
Graphviz w wersjach od 2.36.0 do 9.x przed 10.0.1 ma podatność na odczyt poza przydzielonym zakresem za pomocą spreparowanego pliku config6a. Warto zauważyć, że możliwość wykorzystania tej podatności może być rzadko spotykana, ponieważ plik ten jest zazwyczaj własnością użytkownika root.
Risk Assessment
Podatność ta może prowadzić do nieautoryzowanego odczytu danych, co stanowi zagrożenie dla integralności systemu. Mimo to, ryzyko jej wykorzystania jest ograniczone ze względu na uprawnienia dostępu do pliku.
Recommendation
Zaleca się aktualizację Graphviz do wersji 10.0.1 lub nowszej, aby zlikwidować tę podatność. Dodatkowo, warto monitorować dostęp do plików konfiguracyjnych i stosować odpowiednie zabezpieczenia dostępu.
Original NVD description (English source)
Graphviz 2.36.0 through 9.x before 10.0.1 has an out-of-bounds read via a crafted config6a file. NOTE: exploitability may be uncommon because this file is typically owned by root.