PT-2020-17577 · Rust · Rusb

Publicado 2020-12-18 · Atualizado 2021-08-25 · CVE-2020-36206

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do rusb anteriores à 0.7.0

Descrição

O problema está relacionado à ausência de limites de envio e sincronização no crate rusb, o que pode levar a conflitos de acesso e corrupção de memória. Isso ocorre porque tipos do UsbContext que não são seguros para threads podem ser usados simultaneamente por meio de Device e DeviceHandle entre threads.

Recomendações

Para versões anteriores à 0.7.0, atualize para a versão 0.7.0 ou posterior, que inclui a correção por meio da adição de limites Send e Sync ao UsbContext. Como solução alternativa temporária, considere evitar o uso de UsbContexts entre threads para minimizar o risco de disputas de dados e corrupção de memória.

Correção

Memory Corruption

Enumeração de Fraquezas

CWE-662

CWE-787

Identificadores relacionados

CVE-2020-36206

GHSA-9MXW-4856-9CM5

RUSTSEC-2020-0098

Produtos afetados

Rusb

Referências · 8

• https://github.com/a1ien/rusb/issues/44 · Nota
• https://github.com/a1ien/rusb · Nota
• https://osv.dev/vulnerability/CVE-2020-36206 · Aviso do Fabricante
• https://rustsec.org/advisories/RUSTSEC-2020-0098.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-36206 · Nota de Segurança
• https://osv.dev/vulnerability/RUSTSEC-2020-0098 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9mxw-4856-9cm5 · Aviso do Fabricante
• https://crates.io/crates/rusb · Nota