CVE-2016-5180
KrytyczneStreszczenie
W funkcji ares_create_query w c-ares w wersjach 1.x przed 1.12.0 występuje przepełnienie bufora oparte na stercie, które pozwala zdalnym atakującym na spowodowanie odmowy usługi lub potencjalne wykonanie dowolnego kodu poprzez nazwę hosta z ucieczką na końcu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wywołania odmowy usługi lub uruchomienia złośliwego kodu, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację c-ares do wersji 1.12.0 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Heap-based buffer overflow in the ares_create_query function in c-ares 1.x before 1.12.0 allows remote attackers to cause a denial of service (out-of-bounds write) or possibly execute arbitrary code via a hostname with an escaped trailing dot.