CVE-2014-3468

Wysokie

Opublikowano: 05/06/2014(UTC)Przetłumaczono: 17/06/2026(UTC)NVD NIST

Streszczenie

Funkcja asn1_get_bit_der w GNU Libtasn1 przed wersją 3.6 nieprawidłowo zgłasza błąd, gdy zidentyfikowana zostaje ujemna długość bitu. To pozwala atakującym, zależnie od kontekstu, na wywołanie dostępu poza przydzielonym obszarem pamięci za pomocą spreparowanych danych ASN.1.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do przeprowadzenia ataków, które mogą prowadzić do nieautoryzowanego dostępu do pamięci, co może skutkować wyciekiem danych lub awarią systemu.

Rekomendacja

Zaleca się aktualizację GNU Libtasn1 do wersji 3.6 lub nowszej, aby zlikwidować tę podatność oraz monitorowanie systemów pod kątem potencjalnych prób wykorzystania tej luki.

Inne podatności w GNU Libtasn1

CVE-2017-10790Wysokie
Funkcja _asn1_check_identifier w GNU Libtasn1 w wersji do 4.12 powoduje dereferencję wskaźnika NULL i awarię przy odczycie spreparowanego wejścia, które wywołuje przypisanie wartości NULL w strukturze asn1_node.

Oryginalny opis (angielski, źródło NVD)

The asn1_get_bit_der function in GNU Libtasn1 before 3.6 does not properly report an error when a negative bit length is identified, which allows context-dependent attackers to cause out-of-bounds access via crafted ASN.1 data.