CVE-2017-10687
WysokieStreszczenie
W LibSass 3.4.5 występuje błąd przepełnienia bufora w pamięci w funkcji json_mkstream() w pliku sass_context.cpp. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego ataku typu denial of service.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego zablokowania usługi, co może prowadzić do przestojów w działaniu aplikacji korzystających z LibSass.
Rekomendacja
Zaleca się aktualizację LibSass do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie systemów pod kątem potencjalnych prób ataków.
Inne podatności w LibSass 3.4.5
Zobacz wszystkie- CVE-2017-12964Wysokie
W bibliotece LibSass w wersji 3.4.5 występuje problem z konsumpcją stosu, który jest wywoływany w funkcji Sass::Eval::operator() w pliku eval.cpp. Może to prowadzić do zdalnego ataku typu denial of service.
- CVE-2017-12963Wysokie
W LibSass 3.4.5 występuje nielegalny dostęp do adresu w funkcji Sass::Eval::operator() w pliku eval.cpp, co prowadzi do zdalnego ataku typu denial of service.
- CVE-2017-12962Wysokie
W bibliotece LibSass w wersji 3.4.5 występują wycieki pamięci, które są wywoływane przez głęboko zagnieżdżony kod, na przykład kod z długą sekwencją otwartych nawiasów. Może to prowadzić do zdalnego ataku typu denial of service.
- CVE-2017-11556Wysokie
W funkcji Parser::advanceToNextToken w pliku parser.cpp w LibSass 3.4.5 występuje podatność na nadmierne zużycie stosu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego odmowy usługi.
- CVE-2017-11555Wysokie
W funkcji Eval::operator w pliku eval.cpp w LibSass 3.4.5 występuje nielegalny dostęp do adresu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego odmowy usługi.
- CVE-2017-11554Wysokie
W bibliotece LibSass w wersji 3.4.5 występuje podatność na nadmierne zużycie stosu w funkcji lex w pliku parser.hpp, co może prowadzić do zdalnego odmowy usługi przy użyciu odpowiednio przygotowanego wejścia.
- CVE-2017-11342Wysokie
W pliku ast.cpp w LibSass 3.4.5 występuje nielegalny dostęp do adresu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego ataku typu denial of service.
- CVE-2017-11341Wysokie
W bibliotece LibSass w wersji 3.4.5 występuje podatność na przepełnienie bufora w pamięci sterty, która może być wykorzystana przez złośliwe dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
In LibSass 3.4.5, there is a heap-based buffer over-read in the function json_mkstream() in sass_context.cpp. A crafted input will lead to a remote denial of service attack.