PT-2024-24370 · Unknown · Imagesharp

Skanejohan · Publicado 2024-04-15 · Atualizado 2025-01-09 · CVE-2024-32035

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do ImageSharp anteriores à 2.1.8

Versões do ImageSharp anteriores à 3.1.4

Descrição

Uma vulnerabilidade descoberta na biblioteca ImageSharp pode levar ao uso excessivo de memória em decodificadores de imagem ao processar arquivos especialmente criados. Essa falha pode ser explorada para causar uma negação de serviço (DoS) ao esgotar a memória do processo, afetando aplicativos e serviços que dependem do ImageSharp para tarefas de processamento de imagem.

Recomendações

Para versões anteriores à 2.1.8, atualize para a versão 2.1.8 para mitigar o risco de exploração.

Para versões anteriores à 3.1.4, atualize para a versão 3.1.4 para mitigar o risco de exploração.

Como solução alternativa temporária, considere usar Image.Identify para determinar as dimensões da imagem antes de chamar Image.Decode(Async) para impor um limite e evitar o uso excessivo de memória.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-789

CWE-770

Identificadores relacionados

CVE-2024-32035

GHSA-G85R-6X2Q-45W7

Produtos afetados

Imagesharp

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32035.json · Exploit
• https://github.com/SixLabors/ImageSharp · Nota
• https://github.com/SixLabors/ImageSharp/commit/f21d64188e59ae9464ff462056a5e29d8e618b27 · Correção
• https://github.com/SixLabors/ImageSharp/security/advisories/GHSA-g85r-6x2q-45w7 · Aviso do Fabricante
• https://github.com/SixLabors/ImageSharp/commit/b6b08ac3e7cea8da5ac1e90f7c0b67dd254535c3 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-32035 · Nota de Segurança
• https://t.me/cvenotify/76934 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1780008749723165079 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1779966908822905116 · Publicação no Twitter
• https://docs.sixlabors.com/articles/imagesharp.web/processingcommands.html#securing-processing-commands · Nota
• https://docs.sixlabors.com/articles/imagesharp/security.html · Nota
• https://t.me/cvenotify/76865 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-g85r-6x2q-45w7 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-32035 · Aviso do Fabricante