PT-2024-5252 · Unknown · Imagesharp

Erazerbrecht · Publicado 2024-06-26 · Atualizado 2024-09-11 · CVE-2024-41132

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

Versões do ImageSharp anteriores à 3.1.5

Versões do ImageSharp anteriores à 2.1.9

Descrição:

Uma vulnerabilidade na biblioteca ImageSharp pode levar ao uso excessivo de memória no decodificador Gif ao processar arquivos especialmente criados. Esse problema é acionado quando o ImageSharp tenta processar arquivos de imagem projetados para explorar essa falha. A vulnerabilidade pode permitir que um invasor remoto cause uma negação de serviço.

Recomendações:

Para versões anteriores à 3.1.5, atualize para a v3.1.5.

Para versões anteriores à 2.1.9, atualize para a v2.1.9.

Como solução alternativa temporária, antes de chamar Image.Decode(Async), use Image.Identify para determinar as dimensões da imagem a fim de impor um limite.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-789

CWE-770

Identificadores relacionados

BDU:2024-05864

CVE-2024-41132

GHSA-QXRV-GP6X-RC23

Produtos afetados

Imagesharp

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41132.json · Exploit
• https://github.com/SixLabors/ImageSharp · Nota
• https://github.com/SixLabors/ImageSharp/commit/59de13c8cc47f2b402e2c43aa7024511d029d515 · Correção
• https://github.com/SixLabors/ImageSharp/commit/9816ca45016c5d3859986f3c600e8934bc450a56 · Correção
• https://github.com/SixLabors/ImageSharp/security/advisories/GHSA-qxrv-gp6x-rc23 · Aviso do Fabricante
• https://github.com/SixLabors/ImageSharp/pull/2764 · Nota
• https://github.com/SixLabors/ImageSharp/commit/b496109051cc39feee1f6cde48fca6481de17f9a · Correção
• https://github.com/SixLabors/ImageSharp/pull/2759 · Nota
• https://github.com/SixLabors/ImageSharp/pull/2770 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-41132 · Nota de Segurança
• https://docs.sixlabors.com/articles/imagesharp/security.html · Nota
• https://docs.sixlabors.com/articles/imagesharp.web/processingcommands.html#securing-processing-commands · Nota
• https://bdu.fstec.ru/vul/2024-05864 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-qxrv-gp6x-rc23 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-41132 · Aviso do Fabricante