CVE-2014-9654
KrytyczneStreszczenie
Pakiet wyrażeń regularnych w International Components for Unicode (ICU) dla C/C++ przed 2014-12-03, używany w Google Chrome przed wersją 40.0.2214.91, oblicza pewne wartości bez zapewnienia, że mogą być one reprezentowane w 24-bitowym polu. To pozwala zdalnym atakującym na spowodowanie odmowy usługi (uszkodzenie pamięci) lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego ciągu.
Ocena ryzyka
Organizacje mogą być narażone na ataki zdalne, które prowadzą do odmowy usługi, co może wpłynąć na dostępność aplikacji i systemów. Dodatkowo, istnieje ryzyko nieokreślonego wpływu na bezpieczeństwo danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Google Chrome oraz monitorowanie użycia pakietu ICU w aplikacjach C/C++. Należy również przeprowadzić audyt bezpieczeństwa, aby zidentyfikować potencjalne zagrożenia.
Oryginalny opis (angielski, źródło NVD)
The Regular Expressions package in International Components for Unicode (ICU) for C/C++ before 2014-12-03, as used in Google Chrome before 40.0.2214.91, calculates certain values without ensuring that they can be represented in a 24-bit field, which allows remote attackers to cause a denial of service (memory corruption) or possibly have unspecified other impact via a crafted string, a related issue to CVE-2014-7923.