CVE-2017-5356
WysokieStreszczenie
Irssi w wersjach przed 0.8.21 umożliwia zdalnym atakującym spowodowanie odmowy usługi (odczyt poza zakresem i awaria) poprzez ciąg zawierający sekwencję formatowania (%[) bez zamykającego nawiasu (]).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego zablokowania usługi, co może prowadzić do przestojów w działaniu systemu.
Rekomendacja
Zaleca się aktualizację Irssi do wersji 0.8.21 lub nowszej, aby usunąć tę podatność.
Inne podatności w Irssi
Zobacz wszystkie- CVE-2017-15723Wysokie
W Irssi przed wersją 1.0.5, zbyt długie nicki lub cele mogą prowadzić do dereferencji wskaźnika NULL podczas dzielenia wiadomości.
- CVE-2017-15721Wysokie
W Irssi przed wersją 1.0.5, niepoprawnie sformatowane wiadomości DCC CTCP mogą prowadzić do dereferencji wskaźnika NULL.
- CVE-2017-15228Wysokie
Irssi w wersjach przed 1.0.5, podczas instalacji motywów z niedokończonymi sekwencjami formatowania kolorów, może uzyskiwać dostęp do danych poza końcem ciągu.
- CVE-2017-15227Wysokie
Irssi przed wersją 1.0.5 może niepoprawnie usuwać zniszczone kanały z listy zapytań podczas oczekiwania na synchronizację kanałów, co prowadzi do warunków use-after-free przy późniejszej aktualizacji stanu.
- CVE-2017-9469Wysokie
W Irssi przed wersją 1.0.3, podczas odbierania niepoprawnie cytowanych plików DCC, program próbuje znaleźć końcowy cudzysłów jeden bajt przed przydzieloną pamięcią. Może to prowadzić do awarii aplikacji.
- CVE-2017-9468Wysokie
W Irssi przed wersją 1.0.3, podczas odbierania wiadomości DCC bez źródłowego nicka/hosta, następuje próba dereferencji wskaźnika NULL. Może to prowadzić do awarii aplikacji.
- CVE-2017-5196Wysokie
Irssi w wersjach 0.8.18 i wcześniejszych przed 0.8.21 pozwala zdalnym atakującym na spowodowanie odmowy usługi (odczyt poza zakresem i awaria) poprzez wykorzystanie ciągów, które nie są w formacie UTF8.
- CVE-2017-5195Wysokie
Irssi w wersjach 0.8.17 i wcześniejszych przed 0.8.21 jest podatny na atak, który może prowadzić do odmowy usługi poprzez zdalne wywołanie błędu odczytu poza zakresem i awarię aplikacji za pomocą spreparowanego kodu koloru ANSI x8.
- CVE-2017-5194Wysokie
Podatność typu use-after-free w Irssi przed wersją 0.8.21 pozwala zdalnym atakującym na spowodowanie awarii (denial of service) poprzez wysłanie nieprawidłowej wiadomości z nickiem.
- CVE-2017-5193Wysokie
Funkcja nickcmp w Irssi przed wersją 0.8.21 pozwala zdalnym atakującym na spowodowanie awarii usługi (odwołanie do wskaźnika NULL i awaria) poprzez wiadomość bez nicka.
Oryginalny opis (angielski, źródło NVD)
Irssi before 0.8.21 allows remote attackers to cause a denial of service (out-of-bounds read and crash) via a string containing a formatting sequence (%[) without a closing bracket (]).