PT-2025-10135 · Ring · Ring
Publicado
2025-03-07
·
Atualizado
2025-03-07
CVSS v4.0
6.6
Média
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U |
Nome do Software Vulnerável e Versões Afetadas
versões do ring (versões afetadas não especificadas)
Descrição
O problema surge na função
ring::aead::quic::HeaderProtectionKey::new mask(), que pode entrar em pânico quando a verificação de overflow está habilitada. Um atacante pode explorar isso enviando um pacote especialmente construído no protocolo QUIC, potencialmente causando um pânico em 1 a cada 2**32 pacotes enviados e/ou recebidos. Além disso, em alvos de 64 bits, operações usando ring::aead::{AES 128 GCM, AES 256 GCM} podem entrar em pânico ao criptografar ou descriptografar grandes quantidades de dados, aproximadamente 68.719.476.700 bytes, em um único bloco. No entanto, protocolos como TLS e SSH não são afetados, pois dividem grandes volumes de dados em blocos menores.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Ring