CVE-2017-15650
WysokieStreszczenie
Musl libc w wersjach przed 1.1.17 zawiera podatność na przepełnienie bufora, która może być wykorzystana przez złośliwe odpowiedzi DNS. Funkcja dns_parse_callback w pliku network/lookup_name.c nie ogranicza liczby adresów, co pozwala atakującemu na wysłanie nieoczekiwanej liczby rekordów A w odpowiedzi na zapytanie AAAA.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do zdalnego wykonania kodu lub awarii systemu, co stwarza poważne zagrożenie dla stabilności i bezpieczeństwa aplikacji korzystających z musl libc.
Rekomendacja
Zaleca się aktualizację musl libc do wersji 1.1.17 lub nowszej, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów zabezpieczających przed nieautoryzowanymi odpowiedziami DNS.
Inne podatności w musl libc
Zobacz wszystkie- CVE-2026-6042Średnie
Wykryto wadę bezpieczeństwa w musl libc do wersji 1.2.6. Dotyczy ona funkcji iconv w pliku src/locale/iconv.c komponentu dekodera 4-bajtowego GB18030. Manipulacja prowadzi do nieefektywnej złożoności algorytmicznej. Atak musi być zainicjowany z lokalnej pozycji.
- CVE-2025-26519Wysokie
musl libc w wersjach 0.9.13 do 1.2.5 przed 1.2.6 ma podatność na zapis poza zakresem, gdy atakujący może wywołać konwersję iconv niezaufanego tekstu EUC-KR do UTF-8.
- CVE-2015-1817Krytyczne
W funkcji inet_pton w musl libc występuje przepełnienie bufora na stosie, które może być wykorzystane przez atakujących. Dotyczy to wersji od 0.9.15 do 1.0.4 oraz od 1.1.0 do 1.1.7.
Oryginalny opis (angielski, źródło NVD)
musl libc before 1.1.17 has a buffer overflow via crafted DNS replies because dns_parse_callback in network/lookup_name.c does not restrict the number of addresses, and thus an attacker can provide an unexpected number by sending A records in a reply to an AAAA query.