Ariadne Conill

**Name of the Vulnerable Software and Affected Versions** pkgconf versions 1.9.3 and earlier **Description** The issue is related to the `pkgconf tuple parse` function in `libpkgconf/tuple.c`, which can cause an unbounded string expansion due to incorrect checks. This can lead to a denial of service when a specially crafted `.pc` file is used. For example, a `.pc` file containing a few hundred bytes can expand to one billion bytes. **Recommendations** For versions 1.9.3 and earlier, update to a version later than 1.9.3 to resolve the issue. As a temporary workaround, consider restricting the use of the `pkgconf tuple parse` function in `libpkgconf/tuple.c` until a patch is available. Avoid using variable duplication in `.pc` files to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Linux kernel (affected versions not specified) **Description** A vulnerability in the Linux kernel has been resolved, related to the execution of commands with empty argv. The issue is described as forcing a single empty string when argv is empty. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** Versões do BusyBox anteriores à 1.35.0 **Descrição** O problema está relacionado à falta de sanitização de entradas no conjunto de utilitários de linha de comando do BusyBox, afetando especificamente o utilitário netstat ao exibir registros PTR de DNS em um terminal compatível com VT. Isso poderia permitir que um invasor remoto executasse código arbitrário ou alterasse as cores do terminal. **Recomendações** Para versões anteriores à 1.35.0, atualize para a versão 1.35.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do utilitário netstat com registros DNS PTR em terminais compatíveis com VT até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões 2.8.9 e anteriores do Lynx **Descrição** O problema está relacionado ao tratamento incorreto do subcomponente userinfo de um URI, permitindo que invasores remotos descubram credenciais em texto simples, uma vez que estas podem aparecer nos dados SNI ou nos cabeçalhos HTTP. Isso pode permitir que um invasor remoto acesse dados confidenciais. **Recomendações** Para as versões 2.8.9 e anteriores, atualize para uma versão que corrija o problema de tratamento do subcomponente userinfo, a fim de impedir que credenciais em texto simples sejam expostas nos dados SNI ou nos cabeçalhos HTTP. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.