CVE-2025-62689
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność polegająca na dereferencji pustego wskaźnika (NULL pointer dereference) istnieje w GNU libmicrohttpd w wersji 1.0.2 i wcześniejszych. Podatność została naprawiona w commitcie ff13abc na gałęzi master repozytorium Git libmicrohttpd, po tagu v1.0.2. Specjalnie spreparowany pakiet wysłany przez atakującego może spowodować warunek odmowy usługi (DoS).
Ocena ryzyka
Ryzyko obejmuje możliwość spowodowania niedostępności usług korzystających z libmicrohttpd poprzez wysłanie specjalnie spreparowanego pakietu. Atak może być przeprowadzony zdalnie bez uwierzytelnienia.
Rekomendacja
Zaleca się aktualizację GNU libmicrohttpd do wersji zawierającej poprawkę (po commitcie ff13abc). Należy również monitorować ruch sieciowy pod kątem podejrzanych pakietów.
Inne podatności w GNU libmicrohttpd
Zobacz wszystkie- CVE-2025-59777Wysokie
Podatność polegająca na dereferencji pustego wskaźnika (NULL pointer dereference) istnieje w GNU libmicrohttpd w wersji 1.0.2 i wcześniejszych. Podatność została naprawiona w commitcie ff13abc na gałęzi master repozytorium Git libmicrohttpd, po tagu v1.0.2. Specjalnie spreparowany pakiet wysłany przez atakującego może spowodować warunek odmowy usługi (DoS).
- CVE-2023-27371Średnie
GNU libmicrohttpd przed wersją 0.9.76 pozwala na zdalne ataki typu Denial of Service (DoS) z powodu nieprawidłowego przetwarzania granicy multipart/form-data w metodzie MHD_create_post_processor() w postprocessor.c. Atakujący może zdalnie wysłać złośliwy pakiet HTTP POST zawierający jeden lub więcej bajtów '\0' w polu granicy multipart/form-data, co przy określonym układzie sterty prowadzi do odczytu poza zakresem i awarii w funkcji find_boundary().
Oryginalny opis (angielski, źródło NVD)
NULL pointer dereference vulnerability exists in GNU libmicrohttpd v1.0.2 and earlier. The vulnerability was fixed in commit ff13abc on the master branch of the libmicrohttpd Git repository, after the v1.0.2 tag. A specially crafted packet sent by an attacker could cause a denial-of-service (DoS) condition.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS