CVE-2024-45776
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W funkcji grub_mofile_open() podczas odczytu pliku .mo języka, GRUB2 nie weryfikuje przepełnienia liczby całkowitej przy alokacji wewnętrznego bufora. Specjalnie spreparowany plik .mo może spowodować przepełnienie obliczeń rozmiaru bufora, prowadząc do odczytów i zapisów poza zakresem.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wycieku wrażliwych danych lub nadpisania krytycznych danych, potencjalnie omijając zabezpieczenia Secure Boot. Stanowi to poważne zagrożenie dla integralności i poufności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować GRUB2 do wersji zawierającej poprawkę usuwającą tę podatność. Do czasu aktualizacji należy unikać ładowania niezaufanych plików .mo.
Oryginalny opis (angielski, źródło NVD)
When reading the language .mo file in grub_mofile_open(), grub2 fails to verify an integer overflow when allocating its internal buffer. A crafted .mo file may lead the buffer size calculation to overflow, leading to out-of-bound reads and writes. This flaw allows an attacker to leak sensitive data or overwrite critical data, possibly circumventing secure boot protections.