CVE-2017-12962
WysokieStreszczenie
W bibliotece LibSass w wersji 3.4.5 występują wycieki pamięci, które są wywoływane przez głęboko zagnieżdżony kod, na przykład kod z długą sekwencją otwartych nawiasów. Może to prowadzić do zdalnego ataku typu denial of service.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które mogą prowadzić do niedostępności usług, co wpływa na ciągłość działania aplikacji korzystających z tej biblioteki.
Rekomendacja
Zaleca się aktualizację biblioteki LibSass do najnowszej wersji, aby zlikwidować problem z wyciekami pamięci oraz zminimalizować ryzyko ataków.
Inne podatności w LibSass 3.4.5
Zobacz wszystkie- CVE-2017-12964Wysokie
W bibliotece LibSass w wersji 3.4.5 występuje problem z konsumpcją stosu, który jest wywoływany w funkcji Sass::Eval::operator() w pliku eval.cpp. Może to prowadzić do zdalnego ataku typu denial of service.
- CVE-2017-12963Wysokie
W LibSass 3.4.5 występuje nielegalny dostęp do adresu w funkcji Sass::Eval::operator() w pliku eval.cpp, co prowadzi do zdalnego ataku typu denial of service.
- CVE-2017-11556Wysokie
W funkcji Parser::advanceToNextToken w pliku parser.cpp w LibSass 3.4.5 występuje podatność na nadmierne zużycie stosu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego odmowy usługi.
- CVE-2017-11555Wysokie
W funkcji Eval::operator w pliku eval.cpp w LibSass 3.4.5 występuje nielegalny dostęp do adresu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego odmowy usługi.
- CVE-2017-11554Wysokie
W bibliotece LibSass w wersji 3.4.5 występuje podatność na nadmierne zużycie stosu w funkcji lex w pliku parser.hpp, co może prowadzić do zdalnego odmowy usługi przy użyciu odpowiednio przygotowanego wejścia.
- CVE-2017-11342Wysokie
W pliku ast.cpp w LibSass 3.4.5 występuje nielegalny dostęp do adresu. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego ataku typu denial of service.
- CVE-2017-11341Wysokie
W bibliotece LibSass w wersji 3.4.5 występuje podatność na przepełnienie bufora w pamięci sterty, która może być wykorzystana przez złośliwe dane wejściowe.
- CVE-2017-10687Wysokie
W LibSass 3.4.5 występuje błąd przepełnienia bufora w pamięci w funkcji json_mkstream() w pliku sass_context.cpp. Odpowiednio przygotowane dane wejściowe mogą prowadzić do zdalnego ataku typu denial of service.
Oryginalny opis (angielski, źródło NVD)
There are memory leaks in LibSass 3.4.5 triggered by deeply nested code, such as code with a long sequence of open parenthesis characters, leading to a remote denial of service attack.