CVE-2019-12290

WysokieCVSS 7.5

Opublikowano: 22/10/2019(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

3.11%

Percentyl 87 - wyżej niż 87% wszystkich znanych CVE

Streszczenie

GNU libidn2 przed wersją 2.2.0 nie wykonuje kontroli roundtrip określonych w RFC3490 Sekcja 4.2 podczas konwersji etykiet A na etykiety U. To umożliwia w niektórych okolicznościach podszywanie się jednej domeny pod inną. Tworząc złośliwą domenę, która pasuje do domeny docelowej, z wyjątkiem pewnych punycode'owanych znaków Unicode (które zostałyby odrzucone przy konwersji najpierw na etykietę Unicode, a potem z powrotem na etykietę ASCII), można podszywać się pod dowolne domeny.

Ocena ryzyka

Podszywanie się pod domeny może prowadzić do phishingu, przechwytywania ruchu i naruszenia poufności danych użytkowników, co może zaszkodzić reputacji organizacji i narazić ją na straty finansowe.

Rekomendacja

Zaleca się aktualizację libidn2 do wersji 2.2.0 lub nowszej, która zawiera poprawkę dla tego problemu.

Inne podatności w GNU libidn2

CVE-2019-18224Krytyczne
W bibliotece GNU libidn2 przed wersją 2.1.1 funkcja idn2_to_ascii_4i w pliku lib/lookup.c zawiera przepełnienie bufora na stercie. Do wystąpienia podatności dochodzi poprzez przekazanie długiego łańcucha domeny.

Oryginalny opis (angielski, źródło NVD)

GNU libidn2 before 2.2.0 fails to perform the roundtrip checks specified in RFC3490 Section 4.2 when converting A-labels to U-labels. This makes it possible in some circumstances for one domain to impersonate another. By creating a malicious domain that matches a target domain except for the inclusion of certain punycoded Unicode characters (that would be discarded when converted first to a Unicode label and then back to an ASCII label), arbitrary domains can be impersonated.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS