PT-2024-18939 · Unknown · Node-Twain

Alessio Della Libera · Publicado 2024-07-10 · Atualizado 2024-07-11 · CVE-2024-21525

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

todas as versões do node-twain

Descrição

O problema decorre da verificação ou tratamento inadequado de condições excepcionais, devido à não verificação do comprimento dos dados de origem. A criação de um novo twain.TwainSDK com uma propriedade productName, productFamily, manufacturer ou version.info com comprimento >= 34 caracteres leva a um estouro de buffer.

Recomendações

Para todas as versões, considere restringir o comprimento das propriedades productName, productFamily, manufacturer e version.info para menos de 34 caracteres, a fim de minimizar o risco de exploração até que um patch esteja disponível. Como solução alternativa temporária, considere desativar a criação de novas instâncias twain.TwainSDK com valores de propriedade longos. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Enumeração de Fraquezas

CWE-703

Identificadores relacionados

CVE-2024-21525

GHSA-WXR3-2HGV-QM8F

Produtos afetados

Node-Twain

Referências · 10

• https://github.com/Luomusha/node-twain · Nota
• https://twitter.com/CveFindCom/status/1811143675910455687 · Publicação no Twitter
• https://security.snyk.io/vuln/SNYK-JS-NODETWAIN-6421153 · Nota
• https://gist.github.com/dellalibera/55b87634a6c360e5be22a715f0566c99 · Nota
• https://t.me/cvedetector/512 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-wxr3-2hgv-qm8f · Aviso do Fabricante
• https://t.me/cvenotify/85658 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1810944909853307208 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-21525 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1811032027447152885 · Publicação no Twitter