CVE-2025-5222

WysokieCVSS 7.0

Opublikowano: 27/05/2025(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

W bibliotece International Components for Unicode (ICU) wykryto przepełnienie bufora stosu podczas uruchamiania narzędzia genrb. Błąd występuje w funkcji SRBRoot::addTag, gdzie struktura 'subtag' ulega przepełnieniu, co może prowadzić do uszkodzenia pamięci i lokalnego wykonania dowolnego kodu.

Ocena ryzyka

Atakujący z lokalnym dostępem do systemu może wykorzystać tę podatność do wykonania dowolnego kodu, co grozi przejęciem kontroli nad aplikacją lub systemem.

Rekomendacja

Zaleca się natychmiastową aktualizację biblioteki ICU do najnowszej wersji zawierającej poprawkę oraz unikanie uruchamiania narzędzia genrb na niezaufanych danych wejściowych.

Inne podatności w ICU

CVE-2016-7594Wysokie
W niektórych produktach Apple, w tym iOS przed wersją 10.2, macOS przed wersją 10.12.2 oraz watchOS przed wersją 3.1.3, odkryto problem związany z komponentem 'ICU'. Umożliwia on zdalnym atakującym wykonanie dowolnego kodu lub spowodowanie odmowy usługi poprzez złośliwie skonstruowaną stronę internetową.

Oryginalny opis (angielski, źródło NVD)

A stack buffer overflow was found in Internationl components for unicode (ICU ). While running the genrb binary, the 'subtag' struct overflowed at the SRBRoot::addTag function. This issue may lead to memory corruption and local arbitrary code execution.