CVE-2026-102567

ŚrednieCVSS 6.1

Opublikowano: 29/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Streszczenie

CTranslate2 przed wersją 4.8.1 zawiera podatność odczytu poza granicami sterty w ładowarce modeli binarnych podczas deserializacji pól string bez terminatora null. Atakujący mogą stworzyć złośliwe pliki modeli, aby wywołać odczyty pamięci sterty poza granicami bufora, powodując awarie lub ujawnienie zawartości sąsiedniej pamięci sterty.

Ocena ryzyka

Wykorzystanie podatności może prowadzić do wycieku wrażliwych danych z pamięci lub awarii aplikacji, co może wpłynąć na dostępność usług.

Rekomendacja

Zaktualizuj CTranslate2 do wersji 4.8.1 lub nowszej, która zawiera poprawkę.

Inne podatności w CTranslate2

CVE-2026-102566Wysokie
CTranslate2 przed wersją 4.8.1 zawiera przepełnienie bufora na stercie w binarnym loaderze modeli, który nie waliduje długości ładunku względem rozmiaru zaalokowanego bufora. Atakujący mogą tworzyć złośliwe pliki modeli z nadmiernymi długościami ładunku, aby zapisywać dane poza granicami alokacji sterty, powodując awarie lub wykonanie dowolnego kodu.

Oryginalny opis (angielski, źródło NVD)

CTranslate2 before 4.8.1 contains an out-of-bounds heap read vulnerability in the binary model loader when deserializing string fields without null terminators. Attackers can craft malicious model files to trigger heap memory reads past buffer boundaries, causing crashes or disclosing adjacent heap memory contents.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS