PT-2020-17538 · Rust · Futures-Task Crate

Publicado 2020-09-04 · Atualizado 2025-10-30 · CVE-2020-35906

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do crate futures-task anteriores à 0.3.6

Descrição

Um problema no crate futures-task pode causar um uso após liberação (use-after-free) em determinadas situações. O problema surge quando a função Waker::wake() é chamada após os dados originais terem sido descartados, devido à ausência de um limite de tempo de vida estático na função waker.

Recomendações

Para versões anteriores à 0.3.6, atualize para a versão 0.3.6 ou posterior para resolver o problema, adicionando um limite de tempo de vida estático aos dados que a função waker recebe.

Exploit

Correção

Use After Free

Enumeração de Fraquezas

CWE-416

Identificadores relacionados

CVE-2020-35906

GHSA-R93V-9P5Q-VHPF

RUSTSEC-2020-0060

Produtos afetados

Futures-Task Crate

Referências · 12

• 🔥 https://rustsec.org/advisories/RUSTSEC-2020-0060.html · Exploit
• https://github.com/rust-lang/futures-rs · Nota
• https://github.com/rust-lang/futures-rs/pull/2206 · Nota
• https://osv.dev/vulnerability/GHSA-r93v-9p5q-vhpf · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-35906 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-35906 · Aviso do Fabricante
• https://osv.dev/vulnerability/RUSTSEC-2020-0060 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-35906 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-35906 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-35906 · Nota de Segurança
• https://t.me/cveNotify/140986 · Publicação no Telegram
• https://crates.io/crates/futures-task · Nota