PT-2021-17195 · Qwutils · Qwutils

Qwertz19281 · Publicado 2021-02-03 · Atualizado 2022-05-24 · CVE-2021-26954

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

**Nome do software vulnerável e versões afetadas:

Versões da biblioteca qwutils anteriores à 0.3.1

Descrição:

Um problema na biblioteca qwutils pode causar uma dupla liberação de memória quando ocorre um panic de tipo Clone, especificamente na função insert slice clone. Isso ocorre porque as versões afetadas do crate utilizam ptr::copy ao inserir no meio de um Vec, duplicando temporariamente a propriedade e chamando o método clone de um elemento fornecido pelo usuário. Se a chamada clone entrar em pânico, isso pode resultar na liberação dupla de um elemento.

Recomendações:

Para versões anteriores à 0.3.1, atualize para a versão 0.3.1 ou posterior para resolver o problema. Como solução temporária, considere evitar o uso de insert slice clone ao trabalhar com elementos que possam entrar em pânico durante a clonagem, até que um patch seja aplicado.

Exploit

Correção

Double Free

Enumeração de Fraquezas

CWE-415

Identificadores relacionados

CVE-2021-26954

GHSA-68P4-PJPF-XWCQ

RUSTSEC-2021-0018

Produtos afetados

Qwutils

Referências · 10

• 🔥 https://rustsec.org/advisories/RUSTSEC-2021-0018.html · Exploit
• https://github.com/qwertz19281/rust_utils/commit/20cb73d · Nota
• https://github.com/qwertz19281/rust_utils · Nota
• https://github.com/qwertz19281/rust_utils/issues/3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-26954 · Nota de Segurança
• https://crates.io/crates/qwutils · Nota
• https://t.me/cvenotify/9700 · Publicação no Telegram
• https://osv.dev/vulnerability/RUSTSEC-2021-0018 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-26954 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-68p4-pjpf-xwcq · Aviso do Fabricante