CVE-2024-0684
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W programie GNU coreutils "split" wykryto lukę. W funkcji line_bytes_split() może wystąpić przepełnienie sterty (heap overflow) z danymi kontrolowanymi przez użytkownika o długości kilkuset bajtów, co potencjalnie prowadzi do awarii aplikacji i odmowy usługi (denial of service).
Ocena ryzyka
Podatność może być wykorzystana do zdalnego wywołania awarii aplikacji, powodując przerwę w działaniu usługi. Organizacje używające GNU coreutils w krytycznych skryptach przetwarzających dane wejściowe od użytkownika są narażone na ryzyko odmowy usługi.
Rekomendacja
Zaktualizuj pakiet GNU coreutils do najnowszej wersji zawierającej poprawkę. Unikaj przetwarzania niezaufanych danych wejściowych przez program split do czasu aktualizacji.
Inne podatności w GNU coreutils
Zobacz wszystkie- CVE-2014-9471Wysokie
Funkcja parse_datetime w GNU coreutils umożliwia zdalnym atakującym spowodowanie awarii (denial of service) lub potencjalne wykonanie dowolnego kodu poprzez spreparowany ciąg daty.
- CVE-2026-56392Średnie
W GNU coreutils unexpand występuje przepełnienie sterty spowodowane przepełnieniem liczby całkowitej podczas alokacji bufora przy przetwarzaniu dużych wartości argumentu -t. Może to prowadzić do zapisu poza przydzieloną pamięcią i potencjalnie do uzyskania prymitywu zapisu na stercie.
- CVE-2026-56391Średnie
W narzędziu GNU coreutils uniq występuje podatność na odczyt poza zakresem spowodowana nieprawidłowym przetwarzaniem wielobajtowych danych wejściowych przy użyciu opcji -w (--check-chars). Funkcja find_field() błędnie oblicza długość bajtową znaków, przetwarzając wielokrotnie stały wskaźnik zamiast przesuwać się w danych wejściowych, co prowadzi do zawyżonej wartości długości. Ta nieprawidłowa długość jest później używana w operacji memcmp, powodując odczyty poza przydzielonym buforem podczas przetwarzania spreparowanych wielobajtowych danych wejściowych. Prowadzi to do awarii i potencjalnego ujawnienia sąsiedniej pamięci sterty.
- CVE-2025-5278Średnie
W GNU Coreutils funkcja begfield() w narzędziu sort jest podatna na odczyt poniżej bufora sterty. Użycie spreparowanego polecenia z tradycyjnym formatem klucza może spowodować dostęp do pamięci poza przydzielonym buforem.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the GNU coreutils "split" program. A heap overflow with user-controlled data of multiple hundred bytes in length could occur in the line_bytes_split() function, potentially leading to an application crash and denial of service.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS