PT-2024-29399 · Hicolor · Hicolor

Helson-S · Publicado 2024-07-30 · Atualizado 2024-08-12 · CVE-2024-41438

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.2

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

hicolor versão 0.5.0

Descrição

Um estouro de buffer na pilha (heap buffer overflow) na função cp stored() (/vendor/cute png.h) permite que invasores provoquem uma negação de serviço (DoS) por meio de um arquivo PNG especialmente criado. Este problema também apresenta riscos de travamentos, corrupção de dados e, potencialmente, execução remota de código (RCE).

Recomendações

Para a versão 0.5.0 do hicolor, atualize para uma versão corrigida o mais rápido possível para resolver o problema. Como solução temporária, considere restringir o manuseio de arquivos PNG até que uma correção esteja disponível.

Exploit

Correção

Heap Based Buffer Overflow

Enumeração de Fraquezas

CWE-122

Identificadores relacionados

CVE-2024-41438

Produtos afetados

Hicolor

Referências · 12

• 🔥 https://github.com/Helson-S/FuzzyTesting/blob/master/hicolor/heapof-r65280-cp_stored-cute_png-543c2/vulDescription.md · Exploit
• 🔥 https://github.com/Helson-S/FuzzyTesting/tree/master/hicolor/heapof-r65280-cp_stored-cute_png-543c2/poc/sample10.png · Exploit
• 🔥 https://github.com/Helson-S/FuzzyTesting/tree/master/hicolor/heapof-r65280-cp_stored-cute_png-543c2/poc · Exploit
• https://github.com/Helson-S/FuzzyTesting/blob/master/hicolor/heapof-r65280-cp_stored-cute_png-543c2/vulDescription.assets/image-20240530184723547.png · Nota
• https://github.com/Helson-S/FuzzyTesting/blob/master/hicolor/heapof-r65280-cp_stored-cute_png-543c2/vulDescription.assets/image-20240530184848743.png · Nota
• https://github.com/Helson-S/FuzzyTesting/blob/master/hicolor/heapof-r65280-cp_stored-cute_png-543c2/vulDescription.assets/image-20240530185015780.png · Nota
• https://github.com/Helson-S/FuzzyTesting/blob/master/hicolor/heapof-r65280-cp_stored-cute_png-543c2 · Nota
• https://twitter.com/oktsec/status/1822894314327777775 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-41438 · Aviso do Fabricante
• https://t.me/cvedetector/2064 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-41438 · Nota de Segurança
• https://t.me/cvenotify/87965 · Publicação no Telegram