CVE-2017-12883
KrytyczneStreszczenie
W Perlu przed wersjami 5.24.3-RC1 i 5.26.1-RC1 odkryto przepełnienie bufora w funkcji S_grok_bslash_N w pliku regcomp.c. Podatność pozwala zdalnemu atakującemu na ujawnienie wrażliwych informacji lub spowodowanie odmowy usługi (awarii aplikacji) poprzez spreparowane wyrażenie regularne z nieprawidłowym sekwencją ucieczki '\N{U+...}'.
Ocena ryzyka
Ryzyko obejmuje potencjalny wyciek poufnych danych z pamięci procesu lub przerwanie działania aplikacji, co może prowadzić do naruszenia bezpieczeństwa i dostępności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Perla do wersji 5.24.3-RC1, 5.26.1-RC1 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć przetwarzanie niezaufanych wyrażeń regularnych.
Oryginalny opis (angielski, źródło NVD)
Buffer overflow in the S_grok_bslash_N function in regcomp.c in Perl 5 before 5.24.3-RC1 and 5.26.x before 5.26.1-RC1 allows remote attackers to disclose sensitive information or cause a denial of service (application crash) via a crafted regular expression with an invalid '\N{U+...}' escape.