PT-2021-23827 · Gnu · Glibc

Publicado 2021-11-04 · Atualizado 2025-07-24 · CVE-2021-43396

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

GNU C Library (também conhecida como glibc), versão 2.34

Descrição

Intrusos remotos podem forçar a função iconv() a emitir um caractere ‘0’ espúrio por meio de dados ISO-2022-JP-3 manipulados, acompanhados de uma reinicialização do estado interno. Isso pode afetar a integridade dos dados em determinados casos de uso da função iconv(). O fornecedor afirma que o bug não pode ser acionado por meio de entrada do usuário e requer que o iconv seja chamado com um inbuf NULL, o que, para ocorrer involuntariamente, exigiria um bug separado no aplicativo.

Recomendações

Para a GNU C Library (também conhecida como glibc) versão 2.34, considere invocar o iconv() com um inbuf diferente de NULL para evitar a emissão de caracteres ‘0’ espúrios. Como solução temporária, considere restringir o uso de dados ISO-2022-JP-3 manipulados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Identificadores relacionados

AZL-6443

CVE-2021-43396

OESA-2021-1438

Produtos afetados

Glibc

Referências · 16

• 🔥 https://blog.tuxcare.com/vulnerability/vulnerability-in-iconv-identified-by-tuxcare-team-cve-2021-43396 · Exploit
• 🔥 https://sourceware.org/bugzilla/show_bug.cgi?id=28524 · Exploit
• https://t.me/cvenotify/88913 · Publicação no Telegram
• https://t.me/cibsecurity/31858 · Publicação no Telegram
• https://sourceware.org/git/?p=glibc.git%3Ba=commit%3Bh=ff012870b2c02a62598c04daa1e54632e020fd7d · Nota
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2021-1438 · Nota
• https://twitter.com/LambdaWatchdog/status/1948352816780640319 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-43396 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-43396 · Nota de Segurança
• https://t.me/cvenotify/44915 · Publicação no Telegram
• https://osv.dev/vulnerability/OESA-2021-1438 · Aviso do Fabricante
• https://oracle.com/security-alerts/cpujul2022.html · Correção
• https://osv.dev/vulnerability/CVE-2021-43396 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-6443 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-43396 · Aviso do Fabricante