CVE-2023-40359
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
xterm w wersji przed 380 obsługuje raportowanie ReGIS dla nazw zestawów znaków, nawet jeśli zawierają one nieoczekiwane znaki (tj. niealfanumeryczne lub podkreślenia), co prowadzi do problemu z wskaźnikiem/przepełnieniem. Problem ten występuje tylko w instalacjach xterm skonfigurowanych podczas kompilacji do używania określonej eksperymentalnej funkcji.
Ocena ryzyka
Organizacje mogą być narażone na ataki wykorzystujące przepełnienie wskaźnika, co może prowadzić do nieautoryzowanego dostępu lub destabilizacji systemu. W szczególności dotyczy to instalacji xterm z włączoną eksperymentalną funkcjonalnością.
Rekomendacja
Zaleca się aktualizację xterm do wersji 380 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy unikać włączania eksperymentalnych funkcji, które mogą wprowadzać ryzyko.
Oryginalny opis (angielski, źródło NVD)
xterm before 380 supports ReGIS reporting for character-set names even if they have unexpected characters (i.e., neither alphanumeric nor underscore), aka a pointer/overflow issue. This can only occur for xterm installations that are configured at compile time to use a certain experimental feature.