PT-2021-4457 · Gnu+10 · Gnu Cpio+10
Maverick Chung
·
Publicado
2021-08-07
·
Atualizado
2025-06-09
·
CVE-2021-38185
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
GNU cpio versões 2.13 e anteriores
Descrição
O problema é causado por um estouro de inteiro no componente dstring.c do pacote GNU cpio, especificamente na função
ds fgetstr. Esse estouro desencadeia uma gravação fora dos limites da pilha (heap), permitindo que invasores executem código arbitrário por meio de um arquivo de padrão malicioso associado à opção -E. Não está claro se há casos comuns em que o arquivo de padrão seja composto por dados não confiáveis.Recomendações
Para as versões 2.13 e anteriores do GNU cpio, considere desativar o uso de arquivos de padrão criados com a opção -E até que um patch esteja disponível. Como solução temporária, restrinja o uso da função
ds fgetstr no componente dstring.c para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Integer Overflow
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Gnu Cpio
Linuxmint
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu