CVE-2026-28364

WysokieCVSS 7.9

Opublikowano: 27/02/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

W OCaml przed wersją 4.14.3 oraz w wersjach 5.x przed 5.4.1 wykryto podatność na przepełnienie bufora podczas deserializacji Marshal. Brak walidacji granic w funkcji readblock() umożliwia wykonanie nieograniczonej operacji memcpy() z długością kontrolowaną przez atakującego, co może prowadzić do zdalnego wykonania kodu w wyniku wieloetapowego ataku.

Ocena ryzyka

Organizacja narażona jest na zdalne przejęcie kontroli nad systemem poprzez wysłanie spreparowanych danych Marshal. Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście aplikacji używającej OCaml, co może skutkować naruszeniem poufności, integralności i dostępności danych.

Rekomendacja

Należy niezwłocznie zaktualizować OCaml do wersji 4.14.3 lub nowszej (dla gałęzi 4.x) oraz do wersji 5.4.1 lub nowszej (dla gałęzi 5.x). W międzyczasie zaleca się ograniczenie deserializacji danych Marshal tylko do zaufanych źródeł.

Inne podatności w OCaml

CVE-2015-8869Krytyczne
OCaml w wersjach przed 4.03.0 nieprawidłowo obsługuje rozszerzenia znaków, co umożliwia zdalnym atakującym przeprowadzenie ataków typu buffer overflow lub uzyskanie poufnych informacji, co zostało zademonstrowane przez długi ciąg przekazywany do funkcji String.copy.

Oryginalny opis (angielski, źródło NVD)

In OCaml before 4.14.3 and 5.x before 5.4.1, a buffer over-read in Marshal deserialization (runtime/intern.c) enables remote code execution through a multi-phase attack chain. The vulnerability stems from missing bounds validation in the readblock() function, which performs unbounded memcpy() operations using attacker-controlled lengths from crafted Marshal data.