CVE-2024-52533

Buffer overflow w GNOME GLib — błąd off-by-one w obsłudze SOCKS4

CVSS 9.8v3.1pub. 2024-11-11upd. 2025-06-17

W bibliotece GNOME GLib przed wersją 2.82.1 w pliku gio/gsocks4aproxy.c występuje błąd off-by-one prowadzący do przepełnienia bufora (buffer overflow). Podatność ma ocenę CVSS 9.8 i może zostać wykorzystana zdalnie bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

gio/gsocks4aproxy.c in GNOME GLib before 2.82.1 has an off-by-one error and resultant buffer overflow because SOCKS4_CONN_MSG_LEN is not sufficient for a trailing '\0' character.

🤖 Analiza AI

Jak działa

Stała SOCKS4_CONN_MSG_LEN definiuje zbyt małą długość bufora — nie przewiduje miejsca na kończący znak null ('\0'). Przy konstruowaniu komunikatu połączenia SOCKS4 zapis wykracza o jeden bajt poza przydzielony obszar pamięci, co prowadzi do klasycznego buffer overflow sklasyfikowanego jako CWE-120. Atakujący może w ten sposób nadpisać sąsiednie obszary pamięci procesu.

Skutki

Pomyślne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie arbitralnego kodu (RCE) na podatnym systemie, a także naruszenie poufności, integralności i dostępności danych bez konieczności posiadania jakichkolwiek uprawnień.

Mitygacja

Należy zaktualizować GNOME GLib do wersji 2.82.1 lub nowszej. Dla systemów Debian należy zastosować patche ogłoszone w biuletynie debian-lts-announce z listopada 2024. Użytkownicy produktów NetApp (Active IQ Unified Manager, ONTAP Tools) powinni śledzić rekomendacje producenta i wdrożyć dostępne aktualizacje zgodnie z jego referencjami.

Kogo dotyczy

GNOME GLib w wersjach przed 2.82.1, a także produkty bazujące na tej bibliotece: Debian Linux (w tym gałąź LTS) oraz NetApp Active IQ Unified Manager i NetApp ONTAP Tools.