PT-2024-13755 · Apache+7 · Apache Portable Runtime+7

Thomas Stangner · Publicado 2024-08-12 · Atualizado 2025-08-27 · CVE-2023-49582

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Apache Portable Runtime, versões 0.9.0 a 1.7.4

Descrição

Permissões pouco restritas definidas pela biblioteca Apache Portable Runtime em plataformas Unix permitiriam que usuários locais tivessem acesso de leitura a segmentos de memória compartilhada nomeados, podendo revelar dados confidenciais de aplicativos. Este problema não afeta plataformas que não sejam Unix, nem compilações com APR USE SHMEM SHMGET=1 (apr.h).

Recomendações

Para resolver o problema, atualize para a versão 1.7.5 do APR, que corrige essa falha. Como solução temporária, considere restringir o acesso aos segmentos de memória compartilhada para minimizar o risco de exploração.

Correção

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

ALT-PU-2024-14982

ALT-PU-2024-15150

AZL-48216

AZL-48273

BDU:2025-07709

BIT-APR-2023-49582

CVE-2023-49582

MGASA-2024-0292

OESA-2024-2229

OPENSUSE-SU-2024:14347-1

OPENSUSE-SU-2024_3428-1

SUSE-SU-2024:3428-1

SUSE-SU-2024:3429-1

SUSE-SU-2024_3428-1

SUSE-SU-2024_3429-1

USN-7038-1

USN-7038-2

Produtos afetados

Alt Linux

Apache Portable Runtime

Astra Linux

Debian

Linuxmint

Red Os

Suse

Ubuntu

Referências · 53

• https://github.com/apache/apr/commit/ebd6c401ccceea461a929122526caacf9c9e7b1d · Nota
• https://github.com/apache/apr/commit/dcdd7daaef7ee6c077a4769a5bec1fbc11e5611f · Nota
• https://github.com/apache/apr/commit/501072062dfcbc459f5d1e576113d17c7de84d5a · Nota
• https://github.com/apache/apr/commit/36ea6d5a2bfc480dd8032cc8651e6793552bc2aa · Nota
• https://advisories.mageia.org/MGASA-2024-0292.html · Nota de Segurança
• https://twitter.com/transilienceai/status/1829585097382609350 · Publicação no Twitter
• https://suse.com/support/update/announcement/2024/suse-su-20243428-1 · Nota
• https://ubuntu.com/security/CVE-2023-49582 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-07709 · Nota de Segurança
• https://osv.dev/vulnerability/AZL-48216 · Aviso do Fabricante
• https://twitter.com/iSecurity/status/1828317164715286695 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2023-49582 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1828077907828527169 · Publicação no Twitter
• https://osv.dev/vulnerability/SUSE-SU-2024:3429-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/MGASA-2024-0292 · Aviso do Fabricante