CVE-2016-4303
KrytyczneStreszczenie
Funkcja parse_string w bibliotece cJSON niewłaściwie obsługuje ciągi UTF8/16, co pozwala zdalnym atakującym na spowodowanie awarii (denial of service) lub wykonanie dowolnego kodu poprzez wprowadzenie nieheksadecymalnego znaku w ciągu JSON, co prowadzi do przepełnienia bufora na stercie.
Ocena ryzyka
Podatność ta może prowadzić do poważnych problemów z dostępnością systemu oraz umożliwić atakującym wykonanie złośliwego kodu, co stwarza zagrożenie dla integralności i poufności danych.
Rekomendacja
Zaleca się aktualizację biblioteki cJSON do najnowszej wersji, która naprawia tę podatność oraz przeprowadzenie audytu kodu w celu zidentyfikowania potencjalnych miejsc narażonych na atak.
Oryginalny opis (angielski, źródło NVD)
The parse_string function in cjson.c in the cJSON library mishandles UTF8/16 strings, which allows remote attackers to cause a denial of service (crash) or execute arbitrary code via a non-hex character in a JSON string, which triggers a heap-based buffer overflow.