PT-2021-16992 · Crates.Io · Cdr

Publicado 2021-01-02 · Atualizado 2021-08-25 · CVE-2021-26305

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do crate cdr anteriores à 0.2.4

Descrição

Foi descoberta uma falha no Deserializer::read vec do crate cdr para Rust. Uma implementação Read fornecida pelo usuário pode obter acesso ao conteúdo antigo da memória heap recém-alocada, violando a segurança. A função Deserializer::read vec() criou um buffer não inicializado e o passou para uma implementação Read fornecida pelo usuário, o que é definido como comportamento indefinido em Rust.

Recomendações

Para versões anteriores à 0.2.4, atualize para a versão 0.2.4 ou posterior para resolver o problema. Como solução temporária, considere evitar o uso de Deserializer::read vec() até que um patch esteja disponível. Restrinja o acesso à implementação Read para minimizar o risco de exploração.

Exploit

Correção

Use of Uninitialized Resource

Enumeração de Fraquezas

CWE-908

Identificadores relacionados

CVE-2021-26305

GHSA-37JJ-WP7G-7WJ4

RUSTSEC-2021-0012

Produtos afetados

Cdr

Referências · 12

• 🔥 https://rustsec.org/advisories/RUSTSEC-2021-0012.html · Exploit
• https://github.com/hrektts/cdr-rs/issues/10 · Nota
• https://github.com/hrektts/cdr-rs/pull/11 · Nota
• https://github.com/hrektts/cdr-rs · Nota
• https://github.com/hrektts/cdr-rs/commit/0e6006de464caa331643f86cd2d9ba3b32b09833 · Nota
• https://t.me/cibsecurity/22825 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-26305 · Aviso do Fabricante
• https://osv.dev/vulnerability/RUSTSEC-2021-0012 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-26305 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-37jj-wp7g-7wj4 · Aviso do Fabricante
• https://t.me/cvenotify/9103 · Publicação no Telegram
• https://crates.io/crates/cdr · Nota