CVE-2016-10253

Heap overflow w generowaniu wyrażeń regularnych w Erlang/OTP 18.x

CVSS 9.8v3.0pub. 2017-03-18upd. 2026-05-13

W Erlang/OTP 18.x wykryto podatność typu heap overflow podczas kompilacji wyrażeń regularnych. Błąd umożliwia zdalnemu atakującemu odczyt i zapis do dowolnych obszarów pamięci procesu, co stanowi poważne zagrożenie dla integralności i poufności systemu.

▸ Pokaż oryginał (EN)

An issue was discovered in Erlang/OTP 18.x. Erlang's generation of compiled regular expressions is vulnerable to a heap overflow. Regular expressions using a malformed extpattern can indirectly specify an offset that is used as an array index. This ordinal permits arbitrary regions within the erts_alloc arena to be both read and written to.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi zniekształconych wzorców extpattern podczas generowania skompilowanych wyrażeń regularnych. Taki wzorzec może pośrednio wskazywać wartość używaną jako indeks tablicy, która wykracza poza przydzielony bufor na stercie (heap). Pozwala to na odczyt i zapis do dowolnych obszarów w obrębie areny pamięci zarządzanej przez erts_alloc.

Skutki

Atakujący może uzyskać możliwość odczytu i zapisu do dowolnych regionów pamięci procesu, co może prowadzić do wykonania dowolnego kodu, ujawnienia poufnych danych lub destabilizacji działającej aplikacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (pull request #1108 w repozytorium erlang/otp na GitHub). Dotyczy również użytkowników systemów Ubuntu — patrz USN-3571-1.