PT-2024-12540 · Gtkwave · Gtkwave

Claudio Bozzato · Publicado 2024-01-08 · Atualizado 2024-04-09 · CVE-2023-35989

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

GTKWave versão 3.3.115

Descrição

Existe uma vulnerabilidade de estouro de inteiro na funcionalidade de alocação de blocos LXT2 do zlib. Ela pode ser acionada por um arquivo .lxt2 especialmente criado, podendo levar à execução de código arbitrário. Para explorar essa vulnerabilidade, a vítima precisaria abrir um arquivo malicioso.

Recomendações

Para a versão 3.3.115 do GTKWave, considere evitar o uso de arquivos .lxt2 de fontes não confiáveis até que um patch esteja disponível. Como solução temporária, restrinja a abertura de arquivos .lxt2 para minimizar o risco de exploração.

Exploit

Correção

Integer Overflow

Enumeração de Fraquezas

CWE-190

Identificadores relacionados

CVE-2023-35989

DLA-3785-1

DSA-5653-1

Produtos afetados

Gtkwave

Referências · 12

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2023-1822 · Exploit
• https://ubuntu.com/security/CVE-2023-35989 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2023-35989 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2023-35989 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2023-35989 · Nota de Segurança
• https://osv.dev/vulnerability/DSA-5653-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-35989 · Nota de Segurança
• https://lists.debian.org/debian-lts-announce/2024/04/msg00007.html · Nota
• https://t.me/cvenotify/67568 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2023-35989 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-3785-1 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2023-35989 · Aviso do Fabricante