CVE-2019-5094
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
Podatność umożliwiająca wykonanie kodu istnieje w funkcji plików przydziału (quota) w E2fsprogs 1.45.3. Specjalnie spreparowana partycja ext4 może spowodować zapis poza granicami pamięci na stercie, co prowadzi do wykonania kodu. Atakujący może uszkodzić partycję, aby wywołać tę podatność.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu przez atakującego, który może dostarczyć spreparowaną partycję, co może prowadzić do przejęcia kontroli nad systemem lub uszkodzenia danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie E2fsprogs do wersji, która zawiera poprawkę dla tej podatności, oraz unikanie montowania niezaufanych partycji ext4.
Inne podatności w E2fsprogs
Zobacz wszystkie- CVE-2022-1304Wysokie
W e2fsprogs 1.46.5 wykryto podatność na odczyt/zapis poza dozwolonym zakresem pamięci. Problem może prowadzić do błędu segmentacji oraz potencjalnie do wykonania dowolnego kodu poprzez specjalnie spreparowany system plików.
- CVE-2026-45531Wysokie
W funkcji read_boot_region pliku fsck.c występuje możliwość odczytu poza zakresem z powodu przepełnienia bufora sterty. Może to prowadzić do lokalnej eskalacji uprawnień bez dodatkowych uprawnień wykonawczych. Interakcja użytkownika nie jest wymagana do wykorzystania.
- CVE-2019-5188Wysokie
Podatność umożliwiająca wykonanie kodu istnieje w funkcji ponownego haszowania katalogów w E2fsprogs e2fsck 1.45.4. Specjalnie spreparowany katalog ext4 może spowodować zapis poza granicami na stosie, co prowadzi do wykonania kodu. Atakujący może uszkodzić partycję, aby wywołać tę podatność.
Oryginalny opis (angielski, źródło NVD)
An exploitable code execution vulnerability exists in the quota file functionality of E2fsprogs 1.45.3. A specially crafted ext4 partition can cause an out-of-bounds write on the heap, resulting in code execution. An attacker can corrupt a partition to trigger this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS