PT-2022-17563 · Unknown · Go-Codec-Dagpb

CVE-2022-2584 · Publicado 2022-04-08 · Atualizado 2023-01-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do go-codec-dagpb anteriores à 1.3.1

Descrição

O codec dag-pb pode entrar em pânico ao decodificar blocos inválidos, devido à suposição de que o comprimento do link informado é preciso. Se o bloco terminar antes do comprimento informado, isso resulta em uma leitura excessiva do buffer.

Recomendações

Para versões anteriores à 1.3.1, atualize para a versão 1.3.1 ou superior para resolver o problema.

Como solução alternativa temporária, considere recuperar os panics em níveis mais altos na pilha de chamadas da goroutine que chama o código defeituoso.

Exploit

Correção

Buffer Overflow

Enumeração de Fraquezas

CWE-119

Identificadores relacionados

CVE-2022-2584

GHSA-967G-CJX4-H7J6

GHSA-G3VV-G2J5-45F2

GO-2022-0422

Produtos afetados

Go-Codec-Dagpb

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/2xxx/CVE-2022-2584.json · Exploit
• https://github.com/ipld/go-codec-dagpb/commit/a17ace35cc760a2698645c09868f9050fa219f57 · Correção
• https://github.com/ipld/go-codec-dagpb/security/advisories/GHSA-g3vv-g2j5-45f2 · Nota
• https://pkg.go.dev/vuln/GO-2022-0422 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-2584 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g3vv-g2j5-45f2 · Aviso do Fabricante
• https://pkg.go.dev · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-2584 · Nota de Segurança
• https://t.me/cvenotify/40822 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2022-0422 · Aviso do Fabricante
• https://t.me/cibsecurity/55441 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-967g-cjx4-h7j6 · Aviso do Fabricante