CVE-2022-37434
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
Biblioteka zlib w wersji do 1.2.12 zawiera podatność na odczyt lub zapis poza zakresem pamięci (heap-based buffer over-read/overflow) w funkcji inflate w pliku inflate.c, spowodowaną przez duże dodatkowe pole w nagłówku gzip. Podatność dotyczy wyłącznie aplikacji wywołujących funkcję inflateGetHeader.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do wrażliwych danych w pamięci lub spowodować awarię aplikacji, co może prowadzić do naruszenia poufności lub dostępności systemu.
Rekomendacja
Należy zaktualizować bibliotekę zlib do wersji 1.2.13 lub nowszej, która zawiera poprawkę. W przypadku aplikacji, które nie wywołują inflateGetHeader, podatność nie stanowi zagrożenia.
Oryginalny opis (angielski, źródło NVD)
zlib through 1.2.12 has a heap-based buffer over-read or buffer overflow in inflate in inflate.c via a large gzip header extra field. NOTE: only applications that call inflateGetHeader are affected. Some common applications bundle the affected zlib source code but may be unable to call inflateGetHeader (e.g., see the nodejs/node reference).