PT-2024-21293 · Cbor2+1 · Cbor2+1

Miri64 · Publicado 2024-02-19 · Atualizado 2025-12-10 · CVE-2024-26134

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões 5.5.1 a 5.6.2 do cbor2

Descrição

O problema diz respeito a uma vulnerabilidade de negação de serviço no cbor2, que fornece codificação e decodificação para o formato de serialização Concise Binary Object Representation (CBOR). Um invasor pode causar a falha de um serviço que utilize o cbor2 para analisar um binário CBOR enviando um objeto suficientemente longo.

Recomendações

Para as versões 5.5.1 a 5.6.2, atualize para a versão 5.6.2 ou posterior, que contém um patch para este problema. Como solução alternativa temporária, considere restringir o tamanho dos objetos CBOR que podem ser analisados para evitar falhas.

Exploit

Correção

Buffer Overflow

Enumeração de Fraquezas

CWE-120

Identificadores relacionados

CVE-2024-26134

GHSA-375G-39JQ-VQ7M

OPENSUSE-SU-2025:14733-1

OPENSUSE-SU-2025:20133-1

PYSEC-2024-155

SUSE-SU-2025:21168-1

SUSE-SU-2025_21168-1

Produtos afetados

Suse

Cbor2

Referências · 36

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/26xxx/CVE-2024-26134.json · Exploit
• 🔥 https://github.com/agronholm/cbor2/security/advisories/GHSA-375g-39jq-vq7m · Exploit
• https://github.com/agronholm/cbor2 · Nota
• https://github.com/agronholm/cbor2/releases/tag/5.6.2 · Nota
• https://github.com/agronholm/cbor2/commit/4de6991ba29bf2290d7b9d83525eda7d021873df · Correção
• https://github.com/agronholm/cbor2/commit/387755eacf0be35591a478d3c67fe10618a6d542 · Nota
• https://github.com/agronholm/cbor2/pull/204 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/cbor2/PYSEC-2024-155.yaml · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/BT42VXZMMMCSSHMA65KKPOZCXJEYHNR5 · Aviso do Fabricante
• https://osv.dev/vulnerability/SUSE-SU-2025:21168-1 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/GX524ZG2XJWFV37UQKQ4LWIH4UICSGEQ · Aviso do Fabricante
• https://bugzilla.suse.com/1220096 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-26134 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-26134 · Aviso do Fabricante
• https://lists.opensuse.org/archives/list/[e-mail]/thread/3J6INDULK4UFE4EESVOPROBMFBKXOAXS · Nota