PT-2022-7205 · Unknown+3 · Stb Image.H+3

Nbickford-Nv · Publicado 2022-02-17 · Atualizado 2023-02-23 · CVE-2022-28042

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões da Libstb anteriores àquela em que o componente stb image.h foi corrigido

stb image.h versão 2.27

Descrição

O problema está relacionado a um uso após liberação (use-after-free) baseado em heap no componente stb image.h da biblioteca Libstb para C/C++. Isso pode ser explorado por um invasor remoto para acessar dados confidenciais, comprometer a integridade dos dados e causar uma negação de serviço. A vulnerabilidade é encontrada especificamente na função stbi jpeg huff decode.

Recomendações

Para o stb image.h versão 2.27, considere desativar a função stbi jpeg huff decode até que um patch esteja disponível.

Para a Libstb, atualize para uma versão que inclua o componente stb image.h corrigido para resolver o problema.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Use After Free

Enumeração de Fraquezas

CWE-416

Identificadores relacionados

BDU:2023-09088

CVE-2022-28042

DLA-3305-1

Produtos afetados

Astra Linux

Debian

Libstb

Stb Image.H

Referências · 24

• 🔥 https://github.com/nothings/stb/issues/1289 · Exploit
• https://github.com/nothings/stb/pull/1297 · Correção
• https://github.com/nothings/stb/commit/84b94010a7b08003cc3fb93635582849398e7ae2 · Nota
• https://github.com/nothings/stb/commit/96fe76c21308653d22672e986dd39506f6871421 · Nota
• https://github.com/nothings/stb/commit/47164e4086c1349ef3042fb04e0f7f7ceaf1fcee · Nota
• https://github.com/nothings/stb/commit/5cfc2a744ad7047cda2396cc67772f313a46093d · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-28042 · Aviso do Fabricante
• https://t.me/cvenotify/43275 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-28042 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2022-28042 · Nota de Segurança
• https://osv.dev/vulnerability/DLA-3305-1 · Aviso do Fabricante
• https://t.me/cibsecurity/40867 · Publicação no Telegram
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/I4HXIWU5HBOADXZVMREHT4YTO5WVYXEQ · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-09088 · Nota de Segurança
• https://lists.debian.org/debian-lts-announce/2023/01/msg00045.html · Nota