PT-2021-24280 · Unknown · Zeroize Derive

Publicado 2021-09-24 · Atualizado 2022-06-22 · CVE-2021-45706

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do crate zeroize derive anteriores à 1.2

Descrição:

Foi detectada uma falha em que a memória liberada não é zerada para uma enumeração quando o atributo #[zeroize(drop)] é utilizado. Isso faz com que a memória não seja zerada após ser liberada, contrariando o comportamento esperado. A falha foi corrigida na versão 1.2, na qual #[zeroize(drop)] em enums agora implementa corretamente o trait Drop.

Recomendações:

Para versões anteriores à 1.2, atualize para a versão 1.2 ou posterior para garantir que o atributo #[zeroize(drop)] implemente corretamente o trait Drop para enums, zerando assim a memória descartada conforme pretendido.

Correção

Enumeração de Fraquezas

CWE-459

Identificadores relacionados

CVE-2021-45706

GHSA-C5HX-W945-J4PQ

RUSTSEC-2021-0115

Produtos afetados

Zeroize Derive

Referências · 9

• https://github.com/RustCrypto/utils/tree/master/zeroize/derive · Nota
• https://github.com/iqlusioninc/crates/issues/876 · Nota
• https://osv.dev/vulnerability/RUSTSEC-2021-0115 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-45706 · Nota de Segurança
• https://raw.githubusercontent.com/rustsec/advisory-db/main/crates/zeroize_derive/RUSTSEC-2021-0115.md · Nota
• https://osv.dev/vulnerability/GHSA-c5hx-w945-j4pq · Aviso do Fabricante
• https://crates.io/crates/zeroize_derive · Nota
• https://rustsec.org/advisories/RUSTSEC-2021-0115.html · Nota
• https://osv.dev/vulnerability/CVE-2021-45706 · Aviso do Fabricante