PT-2020-17496 · Rust · Flatbuffers

Publicado 2020-04-11 · Atualizado 2021-08-25 · CVE-2020-35864

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Crate flatbuffers até 11/04/2020 para Rust

Descrição

Foi detectada uma falha nas funções read scalar e read scalar at, que são inseguras porque permitem a conversão de valores sem blocos unsafe. Isso pode levar à criação de referências pendentes. Por exemplo, a função read scalar pode ser usada para criar uma referência pendente ao implementar a característica EndianScalar para uma estrutura personalizada e, em seguida, usar read scalar para ler um valor desse tipo.

Recomendações

Para o crate flatbuffers até 11/04/2020, considere evitar o uso das funções read scalar e read scalar at até que um patch esteja disponível, pois elas podem ser usadas para criar referências pendentes. Como solução temporária, considere adicionar blocos unsafe a essas funções para impedir transmutações incorretas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Exploit

Correção

Incorrect Type Conversion or Cast

Enumeração de Fraquezas

CWE-704

Identificadores relacionados

CVE-2020-35864

GHSA-C9H5-HF8R-M97X

RUSTSEC-2020-0009

Produtos afetados

Flatbuffers

Referências · 8

• 🔥 https://rustsec.org/advisories/RUSTSEC-2020-0009.html · Exploit
• https://github.com/google/flatbuffers · Nota
• https://github.com/google/flatbuffers/issues/5825 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-35864 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-35864 · Aviso do Fabricante
• https://osv.dev/vulnerability/RUSTSEC-2020-0009 · Aviso do Fabricante
• https://crates.io/crates/flatbuffers · Nota
• https://osv.dev/vulnerability/GHSA-c9h5-hf8r-m97x · Aviso do Fabricante