PT-2026-3138 · Unknown+4 · Gnu C Library+4
Igor Morgenstern
·
Publicado
2026-01-15
·
Atualizado
2026-05-05
·
CVE-2026-0915
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões 2.0 a 2.42 da Biblioteca GNU C
Descrição
A Biblioteca GNU C contém uma falha na qual chamar
getnetbyaddr ou getnetbyaddr r com um nsswitch.conf configurado que especifica o backend de DNS da biblioteca para redes, e consultar uma rede com valor zero, pode levar à exposição do conteúdo da pilha ao resolvedor de DNS configurado. Isso pode potencialmente contornar a Aleatorização de Layout do Espaço de Endereçamento (ASLR), vazar credenciais, expor chaves criptográficas e facilitar a exploração de outras falhas de corrupção de memória. O problema origina-se de validação insuficiente nas funções de resolução de DNS do glibc, fazendo com que memória de pilha não inicializada seja transmitida aos resolvedores de DNS. As funções getnetbyaddr() e getnetbyaddr r() estão implicadas nesta exposição de informações.Recomendações
Atualize para a versão 2.43 ou posterior do glibc quando disponível via atualizações de segurança da distribuição.
Modifique
/etc/nsswitch.conf para remover o DNS da resolução de rede (networks: files).
Audite o tráfego DNS em busca de consultas anômalas e revise aplicativos que invocam funções de resolução de rede com parâmetros zero.Exploit
Correção
Use of Uninitialized Resource
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Gnu C Library
Linuxmint
Red Os
Rocky Linux
Ubuntu