PT-2020-17635 · Rust · Parc Crate

Publicado 2020-11-14 · Atualizado 2021-08-25 · CVE-2020-36454

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

crate parc até 14/11/2020

Descrição

Uma falha no crate parc permite o acesso simultâneo a um T não-Sync, o que pode causar comportamentos indefinidos, como corridas de dados. Isso ocorre porque LockWeak implementa Send incondicionalmente sem limites de trait em T, apesar de não possuir T e fornecer apenas &T.

Recomendações

Para o crate parc até 14/11/2020, considere restringir o uso de LockWeak para impedir o acesso simultâneo a T não-Sync até que um patch esteja disponível. Como solução temporária, certifique-se de que T implemente Sync para evitar corridas de dados. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Race Condition

Buffer Overflow

Enumeração de Fraquezas

CWE-362

CWE-119

Identificadores relacionados

CVE-2020-36454

GHSA-29V7-3V4C-GF38

GHSA-XWXC-J97J-84GF

RUSTSEC-2020-0134

Produtos afetados

Parc Crate

Referências · 11

• 🔥 https://rustsec.org/advisories/RUSTSEC-2020-0134.html · Exploit
• https://github.com/hyyking/rustracts/tree/master/parc · Nota
• https://github.com/hyyking/rustracts/pull/6 · Nota
• https://osv.dev/vulnerability/CVE-2020-36454 · Aviso do Fabricante
• https://crates.io/crates/parc · Nota
• https://raw.githubusercontent.com/rustsec/advisory-db/main/crates/parc/RUSTSEC-2020-0134.md · Nota
• https://osv.dev/vulnerability/GHSA-29v7-3v4c-gf38 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-36454 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-xwxc-j97j-84gf · Aviso do Fabricante
• https://t.me/cibsecurity/26989 · Publicação no Telegram
• https://osv.dev/vulnerability/RUSTSEC-2020-0134 · Aviso do Fabricante