PT-2020-17634 · Rust · Scottqueue

Publicado 2020-11-15 · Atualizado 2021-08-25 · CVE-2020-36453

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

crate scottqueue até 15/11/2020

Descrição

Uma falha no crate scottqueue permite implementações incondicionais de Send e Sync para Queue<T>, o que pode levar à criação de conflitos de acesso a um T: !Sync e ao envio de T: !Send para outras threads. Isso resulta em corrupção de memória ou outro comportamento indefinido.

Recomendações

Para o crate scottqueue até 15/11/2020, considere restringir o uso de Queue para evitar corridas de dados e o envio de tipos não-Send para outras threads até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Race Condition

Enumeração de Fraquezas

CWE-362

Identificadores relacionados

CVE-2020-36453

GHSA-GVVV-W559-2HG6

RUSTSEC-2020-0133

Produtos afetados

Scottqueue

Referências · 9

• 🔥 https://rustsec.org/advisories/RUSTSEC-2020-0133.html · Exploit
• https://github.com/rossdylan/rust-scottqueue · Nota
• https://raw.githubusercontent.com/rustsec/advisory-db/main/crates/scottqueue/RUSTSEC-2020-0133.md · Nota
• https://osv.dev/vulnerability/RUSTSEC-2020-0133 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-36453 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-36453 · Nota de Segurança
• https://github.com/rossdylan/rust-scottqueue/issues/1 · Nota
• https://crates.io/crates/scottqueue · Nota
• https://osv.dev/vulnerability/GHSA-gvvv-w559-2hg6 · Aviso do Fabricante