CVE-2025-14932
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność przepełnienia bufora na stosie w bibliotece NetCDF-C podczas przetwarzania jednostek czasu. Brak walidacji długości danych dostarczonych przez użytkownika przed skopiowaniem ich do bufora o stałym rozmiarze umożliwia zdalne wykonanie kodu.
Ocena ryzyka
Atakujący może wykonać dowolny kod w kontekście bieżącego użytkownika, jeśli ofiara otworzy złośliwy plik lub stronę. Wymaga to interakcji użytkownika, ale może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj bibliotekę NetCDF-C do najnowszej wersji zawierającej poprawkę. Unikaj otwierania niezaufanych plików NetCDF.
Inne podatności w NetCDF-C
Zobacz wszystkie- CVE-2026-86095Wysokie
Unidata netcdf-c do wersji 4.10.1 zawiera podatność na zapis poza zakresem w funkcji NC4_HDF5_inq_attname(), która kopiuje nazwy atrybutów HDF5 do stałego bufora 256-bajtowego bez walidacji długości. Atakujący mogą tworzyć pliki HDF5 z nadmiernie długimi nazwami atrybutów, powodując przepełnienie bufora, uszkodzenie pamięci i awarie podczas wyliczania nazw atrybutów.
- CVE-2025-14936Wysokie
Podatność przepełnienia bufora na stosie w bibliotece NetCDF-C podczas przetwarzania nazw atrybutów. Brak walidacji długości danych dostarczonych przez użytkownika przed skopiowaniem ich do bufora o stałym rozmiarze umożliwia zdalne wykonanie kodu.
- CVE-2025-14935Wysokie
Podatność przepełnienia bufora na stercie w bibliotece NetCDF-C podczas przetwarzania nazw wymiarów. Brak walidacji długości danych dostarczonych przez użytkownika przed skopiowaniem ich do bufora o stałym rozmiarze umożliwia zdalne wykonanie kodu.
- CVE-2025-14934Wysokie
Podatność przepełnienia bufora na stosie w bibliotece NetCDF-C podczas przetwarzania nazw zmiennych. Brak walidacji długości danych dostarczonych przez użytkownika przed skopiowaniem ich do bufora o stałym rozmiarze umożliwia zdalne wykonanie kodu.
Oryginalny opis (angielski, źródło NVD)
NSF Unidata NetCDF-C Time Unit Stack-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of NSF Unidata NetCDF-C. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of time units. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length stack-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current user. Was ZDI-CAN-27273.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS