CVE-2025-2474

Out-of-bounds write w kodeku PCX w BlackBerry QNX SDP — RCE i DoS

CVSS 9.8v3.1pub. 2025-06-10upd. 2025-12-01

Podatność typu out-of-bounds write w kodeku obrazów PCX wbudowanym w BlackBerry QNX Software Development Platform (SDP) umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu lub wywołanie stanu odmowy usługi (DoS). Wysoki wynik CVSS 9.8 i brak wymogu uwierzytelnienia czynią tę podatność szczególnie groźną dla systemów wbudowanych i przemysłowych opartych na QNX.

▸ Pokaż oryginał (EN)

Out-of-bounds write in the PCX image codec in QNX SDP versions 8.0, 7.1 and 7.0 could allow an unauthenticated attacker to cause a denial-of-service condition or execute code in the context of the process using the image codec.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej obsłudze danych wejściowych przez kodek obrazów PCX — specjalnie spreparowany plik PCX może spowodować zapis danych poza przeznaczonym buforem pamięci (out-of-bounds write, CWE-787). Atakujący bez żadnych uprawnień może dostarczyć złośliwy plik obrazu do aplikacji korzystającej z podatnego kodeka. W zależności od kontekstu wykonania procesu, exploit może prowadzić do wykonania dowolnego kodu lub awaryjnego zakończenia procesu.

Skutki

Atakujący może wykonać dowolny kod w kontekście procesu używającego podatnego kodeka obrazów PCX, co może skutkować przejęciem kontroli nad komponentem systemu, lub wywołać stan odmowy usługi (DoS) powodując awarię tego procesu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://support.blackberry.com/pkb/s/article/140646). Do czasu wdrożenia poprawki zaleca się ograniczenie przetwarzania niezaufanych plików graficznych PCX przez aplikacje oparte na QNX SDP oraz minimalizację ekspozycji podatnych komponentów na niezaufane dane wejściowe.