PT-2020-6640 · Unknown+1 · Generator-Rs+1

Publicado 2020-11-16 · Atualizado 2021-08-25 · CVE-2020-36471

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.1

Alta

Vetor base

AV:N/AC:M/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

Versões do generator-rs anteriores à 0.7.0

Descrição

O problema está relacionado à ausência de limites de envio (Send bounds) na função geradora do crate generator-rs, o que pode levar a conflitos de acesso (data races) quando tipos como Rc são enviados entre threads. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço.

Recomendações

Para versões anteriores à 0.7.0, atualize para a versão 0.7.0 ou posterior para corrigir o problema, aplicando limites de envio na função geradora. Como solução alternativa temporária, considere evitar o uso de tipos como Rc na função geradora para minimizar o risco de disputas de dados.

Exploit

Correção

Race Condition

Enumeração de Fraquezas

CWE-136

CWE-362

Identificadores relacionados

BDU:2022-02041

CVE-2020-36471

GHSA-W3G5-2848-2V8R

RUSTSEC-2020-0151

Produtos afetados

Debian

Generator-Rs

Referências · 16

• 🔥 https://rustsec.org/advisories/RUSTSEC-2020-0151.html · Exploit
• https://github.com/Xudong-Huang/generator-rs · Nota
• https://github.com/Xudong-Huang/generator-rs/issues/27 · Nota
• https://github.com/Xudong-Huang/generator-rs/commit/f7d120a3b724d06a7b623d0a4306acf8f78cb4f0 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-36471 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-36471 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-36471 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-36471 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-36471 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-36471 · Aviso do Fabricante
• https://raw.githubusercontent.com/rustsec/advisory-db/main/crates/generator/RUSTSEC-2020-0151.md · Nota
• https://cve.org/CVERecord?id=CVE-2020-36471 · Nota de Segurança
• https://osv.dev/vulnerability/RUSTSEC-2020-0151 · Aviso do Fabricante
• https://crates.io/crates/generator · Nota
• https://bdu.fstec.ru/vul/2022-02041 · Nota de Segurança