PT-2021-18553 · Through · Through

Publicado 2021-02-18 · Atualizado 2021-08-25 · CVE-2021-29940

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

versões do crate anteriores a 18/02/2021

Descrição

O problema decorre das funções through e through and, que recebem uma referência mutável e uma função de mapeamento. Essas funções duplicam a propriedade chamando ptr::read na referência e, em seguida, chamam a função de mapeamento. Se a função de mapeamento entrar em pânico, tanto o objeto original quanto o objeto duplicado são descartados, resultando em uma liberação dupla.

Recomendações

Para versões anteriores a 18/02/2021, considere restringir o uso das funções through e through and até que um patch esteja disponível. Como solução temporária, evite usar essas funções com funções de mapeamento que possam entrar em pânico. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Double Free

Enumeração de Fraquezas

CWE-415

Identificadores relacionados

CVE-2021-29940

GHSA-5HPJ-M323-CPHM

RUSTSEC-2021-0049

Produtos afetados

Through

Referências · 10

• 🔥 https://rustsec.org/advisories/RUSTSEC-2021-0049.html · Exploit
• https://github.com/gretchenfrage/through/issues/1 · Nota
• https://github.com/gretchenfrage/through · Nota
• https://osv.dev/vulnerability/CVE-2021-29940 · Aviso do Fabricante
• https://t.me/cvenotify/12462 · Publicação no Telegram
• https://crates.io/crates/through · Nota
• https://t.me/cvenotify/12733 · Publicação no Telegram
• https://osv.dev/vulnerability/RUSTSEC-2021-0049 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-29940 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5hpj-m323-cphm · Aviso do Fabricante