CVE-2024-24188

Heap-buffer-overflow w Jsish v3.5.0 — podatność krytyczna RCE

CVSS 9.8v3.1pub. 2024-02-07upd. 2025-06-09

W Jsish w wersji 3.5.0 wykryto podatność typu heap-buffer-overflow w pliku src/jsiUtils.c. Błąd otrzymał ocenę CVSS 9.8, co klasyfikuje go jako krytyczny i potencjalnie umożliwia zdalne wykonanie kodu bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

Jsish v3.5.0 was discovered to contain a heap-buffer-overflow in ./src/jsiUtils.c.

🤖 Analiza AI

Jak działa

Podatność polega na przepełnieniu bufora na stercie (heap-buffer-overflow) w module jsiUtils.c interpretera Jsish. Atakujący może dostarczyć spreparowane dane wejściowe, które powodują zapis poza przydzielonym obszarem pamięci na stercie. Tego typu błąd (CWE-787 — zapis poza granicami bufora) może zostać wykorzystany do nadpisania krytycznych struktur danych w pamięci procesu.

Skutki

Atakujący może doprowadzić do wykonania dowolnego kodu (RCE), przejęcia kontroli nad aplikacją lub jej awarii. Ze względu na wektor sieciowy bez wymagań uwierzytelnienia, atak może być przeprowadzony zdalnie bez interakcji użytkownika.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zalecane jest śledzenie repozytorium projektu pod adresem https://github.com/pcmacdon/jsish w celu uzyskania poprawionej wersji. Do czasu aplikacji patcha należy ograniczyć dostęp do usług opartych na Jsish z niezaufanych sieci.