PT-2024-37045 · Harfbuzz+2 · Harfbuzz+2

Fizz-Is-On-The-Way · Publicado 2024-12-27 · Atualizado 2025-02-13 · CVE-2024-56732

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões 8.5.0 a 10.0.1 do HarfBuzz

Descrição

O HarfBuzz é um mecanismo de formatação de texto. Existe um estouro de buffer baseado em heap na função hb cairo glyphs from buffer. Essa vulnerabilidade pode permitir que um invasor remoto execute código arbitrário no sistema alvo.

Recomendações

Para as versões 8.5.0 a 10.0.1 do HarfBuzz, considere desativar a função hb cairo glyphs from buffer até que um patch esteja disponível. Restrinja o acesso ao módulo hb-cairo.cc para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Heap Based Buffer Overflow

Enumeração de Fraquezas

CWE-122

Identificadores relacionados

AZL-54701

AZL-54704

BDU:2025-03336

CVE-2024-56732

GHSA-QMP9-XQM5-JH6M

OESA-2025-1009

OESA-2025-1019

OPENSUSE-SU-2025:14614-1

USN-7214-1

Produtos afetados

Harfbuzz

Red Os

Ubuntu

Referências · 34

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/56xxx/CVE-2024-56732.json · Exploit
• https://github.com/harfbuzz/harfbuzz/commit/1767f99e2e2196c3fcae27db6d8b60098d3f6d26 · Nota
• https://github.com/harfbuzz/harfbuzz/security/advisories/GHSA-qmp9-xqm5-jh6m · Nota
• https://github.com/harfbuzz/harfbuzz · Nota
• https://bdu.fstec.ru/vul/2025-03336 · Nota de Segurança
• https://ubuntu.com/security/notices/USN-7214-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/AZL-54701 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure · Nota
• https://suse.com/security/cve/CVE-2024-56732.html · Nota
• https://twitter.com/SystemTek_UK/status/1873093151113490935 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-56732 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-56732 · Nota de Segurança
• https://twitter.com/CVEnew/status/1872889620511478024 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-56732 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1872769525013196900 · Publicação no Twitter