PT-2024-12482 · Gtkwave · Gtkwave

Claudio Bozzato · Publicado 2024-01-08 · Atualizado 2024-04-09 · CVE-2023-34436

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

GTKWave versão 3.3.115

Descrição

Existe uma vulnerabilidade na funcionalidade num time table entries do LXT2, permitindo uma gravação fora dos limites. Isso pode ser desencadeado por um arquivo .lxt2 especialmente criado, levando potencialmente à execução de código arbitrário. A vítima precisaria abrir um arquivo malicioso para ativar essa vulnerabilidade.

Recomendações

Para a versão 3.3.115 do GTKWave, considere evitar o uso da funcionalidade LXT2 num time table entries até que um patch esteja disponível. Como solução temporária, restrinja a abertura de arquivos .lxt2 provenientes de fontes não confiáveis para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Memory Corruption

Buffer Overflow

Enumeração de Fraquezas

CWE-787

CWE-119

Identificadores relacionados

CVE-2023-34436

DLA-3785-1

DSA-5653-1

Produtos afetados

Gtkwave

Referências · 15

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2023-1819 · Exploit
• https://security-tracker.debian.org/tracker/CVE-2023-34436 · Aviso do Fabricante
• https://t.me/cvenotify/67564 · Publicação no Telegram
• https://osv.dev/vulnerability/DLA-3785-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/DSA-5653-1 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2024/04/msg00007.html · Nota
• https://t.me/cvenotify/66622 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2023-34436 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2023-34436 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1745899732172714075 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2023-34436 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2023-34436 · Aviso do Fabricante
• https://t.me/cvenotify/76244 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2023-34436 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2023-34436 · Nota de Segurança