CVE-2017-11554
WysokieStreszczenie
W bibliotece LibSass w wersji 3.4.5 występuje podatność na nadmierne zużycie stosu w funkcji lex w pliku parser.hpp, co może prowadzić do zdalnego odmowy usługi przy użyciu odpowiednio przygotowanego wejścia.
Ocena ryzyka
Podatność ta może zostać wykorzystana przez atakującego do zdalnego zablokowania usługi, co może prowadzić do przestojów w działaniu aplikacji korzystających z LibSass.
Rekomendacja
Zaleca się aktualizację biblioteki LibSass do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie systemów pod kątem nieautoryzowanych prób wykorzystania tej luki.
Inne podatności w LibSass 3.4.5
Zobacz wszystkie- CVE-2017-12964Wysokie
W bibliotece LibSass w wersji 3.4.5 występuje problem z konsumpcją stosu, który jest wywoływany w funkcji Sass::Eval::operator() w pliku eval.cpp. Może to prowadzić do zdalnego ataku typu denial of service.
- CVE-2017-12963Wysokie
W LibSass 3.4.5 występuje nielegalny dostęp do adresu w funkcji Sass::Eval::operator() w pliku eval.cpp, co prowadzi do zdalnego ataku typu denial of service.
- CVE-2017-12962Wysokie
W bibliotece LibSass w wersji 3.4.5 występują wycieki pamięci, które są wywoływane przez głęboko zagnieżdżony kod, na przykład kod z długą sekwencją otwartych nawiasów. Może to prowadzić do zdalnego ataku typu denial of service.
- CVE-2017-11556Wysokie
W funkcji Parser::advanceToNextToken w pliku parser.cpp w LibSass 3.4.5 występuje podatność na nadmierne zużycie stosu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego odmowy usługi.
- CVE-2017-11555Wysokie
W funkcji Eval::operator w pliku eval.cpp w LibSass 3.4.5 występuje nielegalny dostęp do adresu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego odmowy usługi.
- CVE-2017-11342Wysokie
W pliku ast.cpp w LibSass 3.4.5 występuje nielegalny dostęp do adresu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego ataku typu denial of service.
- CVE-2017-11341Wysokie
W bibliotece LibSass w wersji 3.4.5 występuje podatność na przepełnienie bufora w pamięci sterty, która może być wykorzystana przez złośliwe dane wejściowe.
- CVE-2017-10687Wysokie
W LibSass 3.4.5 występuje błąd przepełnienia bufora w pamięci w funkcji json_mkstream() w pliku sass_context.cpp. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego ataku typu denial of service.
Oryginalny opis (angielski, źródło NVD)
There is a stack consumption vulnerability in the lex function in parser.hpp (as used in sassc) in LibSass 3.4.5. A crafted input will lead to a remote denial of service.