PT-2022-7204 · Unknown+2 · Stb Image.H+2

Nbickford-Nv · Publicado 2022-02-17 · Atualizado 2024-03-25 · CVE-2022-28041

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.1

Alta

Vetor base

AV:N/AC:M/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

stb image.h versão 2.27

Descrição

O problema está relacionado a um estouro de inteiro na função stbi jpeg decode block prog dc, que pode ser explorado por invasores para causar uma negação de serviço (DoS) por meio de vetores não especificados. Isso pode permitir que um invasor remoto interrompa o serviço.

Recomendações

Para a versão 2.27 do stb image.h, considere desativar a função stbi jpeg decode block prog dc como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à biblioteca stb image.h para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

DoS

Integer Overflow

Enumeração de Fraquezas

CWE-190

Identificadores relacionados

BDU:2023-09087

CVE-2022-28041

DLA-3305-1

MGASA-2023-0228

MGASA-2024-0088

Produtos afetados

Astra Linux

Debian

Stb Image.H

Referências · 40

• 🔥 https://github.com/nothings/stb/issues/1292 · Exploit
• https://github.com/nothings/stb/pull/1297 · Correção
• https://github.com/nothings/stb/commit/84b94010a7b08003cc3fb93635582849398e7ae2 · Nota
• https://github.com/nothings/stb/commit/96fe76c21308653d22672e986dd39506f6871421 · Nota
• https://github.com/nothings/stb/commit/5cfc2a744ad7047cda2396cc67772f313a46093d · Nota
• https://github.com/nothings/stb/commit/47164e4086c1349ef3042fb04e0f7f7ceaf1fcee · Nota
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/OHTD76NDEN77KCPI3XGGK2VVSA25WWEG · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JIRW5D4CJIDS6FHOGHSS42SSDDKQMXPN · Aviso do Fabricante
• https://advisories.mageia.org/MGASA-2024-0088.html · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SEQGDVH43YW7AG7TRU2CTU5TMIYP27WP · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-3305-1 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/52ZIQAFEG7A6TO526OJ7OA4GSEZQ2WEG · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-28041 · Nota de Segurança
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/I4HXIWU5HBOADXZVMREHT4YTO5WVYXEQ · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2023/01/msg00045.html · Nota