PT-2025-6748 · Barebox · Barebox

Richard Weinberger · Publicado 2025-02-17 · Atualizado 2025-02-24 · CVE-2024-57262

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:P/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas versões do barebox anteriores a 2025.01.0

Descrição O problema está relacionado a um overflow de inteiro na função ext4fs read symlink ao manipular um sistema de arquivos ext4 manipulado com um tamanho de inode de 0xffffffff. Isso resulta em um malloc de zero e uma subsequente sobrescrita de memória. O problema ocorre devido à adição de um a uma variável le32, o que causa o overflow.

Recomendações Para versões anteriores a 2025.01.0, atualize para a versão 2025.01.0 ou posterior para resolver o problema. Como medida temporária, considere restringir o acesso a sistemas de arquivos ext4 manipulados para minimizar o risco de exploração.

Correção

Integer Overflow

Enumeração de Fraquezas

CWE-190

Identificadores relacionados

CVE-2024-57262

Produtos afetados

Barebox

Referências · 10

• https://twitter.com/WolfgangSesin/status/1891669822041104415 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-57262 · Nota de Segurança
• https://twitter.com/cracbot/status/1893979356856471967 · Publicação no Twitter
• https://twitter.com/oss_security/status/1891539152283328804 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1892035804089770197 · Publicação no Twitter
• https://git.pengutronix.de/cgit/barebox/commit/?id=a2b76550f7d8 · Nota
• https://twitter.com/the_yellow_fall/status/1892391768697516226 · Publicação no Twitter
• https://t.me/cvedetector/18400 · Publicação no Telegram
• https://git.pengutronix.de/cgit/barebox/commit/?id=a2b76550f7d87ba6f88a9ea50e71f107b514ff4e · Nota
• https://osv.dev/vulnerability/CVE-2024-57262 · Aviso do Fabricante