CVE-2024-32611

HDF5 Library: użycie niezainicjowanej wartości w H5A__attr_release_table

CVSS 9.8v3.1pub. 2024-05-14upd. 2025-04-18

Biblioteka HDF5 w wersjach do 1.14.3 włącznie zawiera podatność polegającą na użyciu niezainicjowanej wartości w funkcji H5A__attr_release_table w pliku H5Aint.c. Błąd otrzymał ocenę CVSS 9.8 (krytyczny), co oznacza poważne zagrożenie dla systemów przetwarzających pliki HDF5.

▸ Pokaż oryginał (EN)

HDF5 Library through 1.14.3 may use an uninitialized value in H5A__attr_release_table in H5Aint.c.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej inicjalizacji pamięci (CWE-908, CWE-457) — biblioteka może odczytać lub wykorzystać wartość ze zmiennej, której zawartość nie została wcześniej poprawnie ustawiona. Funkcja H5A__attr_release_table odpowiedzialna za zwalnianie tabeli atrybutów może operować na danych z niezainicjowanego obszaru pamięci. Taki błąd może być wywołany przez przetworzenie specjalnie spreparowanego pliku HDF5, który zmusi bibliotekę do wykonania podatnej ścieżki kodu.

Skutki

Atakujący może potencjalnie uzyskać nieautoryzowany dostęp do danych w pamięci, naruszyć integralność przetwarzanych informacji lub doprowadzić do awarii aplikacji. W najgorszym przypadku błąd może umożliwić zdalne wykonanie kodu (RCE) w kontekście procesu korzystającego z biblioteki.

Mitygacja

Należy zaktualizować bibliotekę HDF5 do wersji 1.14.4 lub nowszej, w której błąd został naprawiony zgodnie z informacją producenta dostępną pod adresem: https://www.hdfgroup.org/2024/05/new-hdf5-cve-issues-fixed-in-1-14-4/