CVE-2017-1000471

NULL pointer dereference w obsłudze CGI serwera EmbedThis GoAhead 4.0.0

CVSS 9.8v3.0pub. 2018-01-03upd. 2024-11-21

EmbedThis GoAhead Webserver w wersji 4.0.0 zawiera podatność typu NULL pointer dereference w module obsługi CGI, prowadzącą do uszkodzenia pamięci lub odmowy usługi. Pomimo klasyfikacji CRITICAL (CVSS 9.8) podatność może umożliwić dalsze skutki wykraczające poza samo DoS.

▸ Pokaż oryginał (EN)

EmbedThis GoAhead Webserver version 4.0.0 is vulnerable to a NULL pointer dereference in the CGI handler resulting in memory corruption or denial of service.

🤖 Analiza AI

Jak działa

Błąd polega na wyłuskaniu wskaźnika NULL (CWE-476) w kodzie obsługującym żądania CGI wbudowanego serwera WWW GoAhead. Gdy aplikacja próbuje odwołać się do niezainicjowanego lub brakującego wskaźnika podczas przetwarzania żądania CGI, dochodzi do nieprawidłowego dostępu do pamięci. Skutkuje to awaryjnym zakończeniem procesu serwera (DoS) lub potencjalnym uszkodzeniem pamięci, co przy ocenie CVSS 9.8 sugeruje możliwość dalszego wpływu na poufność i integralność danych.

Skutki

Atakujący zdalny, nieuwierzytelniony może doprowadzić do odmowy usługi (crash serwera) lub uszkodzenia pamięci procesu, co przy ocenie CVSS 9.8 wskazuje na potencjalne ryzyko utraty poufności i integralności danych.

Mitygacja

Należy zastosować patch dostępny w repozytorium producenta (commit 5e6be61e42448f503e75e287dc332b1ecbf2a665) lub zaktualizować GoAhead do wersji wyższej niż 4.0.0 zgodnie z referencjami producenta. Zaleca się również ograniczenie dostępu do interfejsu CGI serwera za pomocą firewall do zaufanych źródeł.

Kogo dotyczy

EmbedThis GoAhead Webserver w wersji 4.0.0

Uwagi

Podatność została zgłoszona poprzez pull request #258 w repozytorium GitHub producenta i naprawiona committem 5e6be61e42448f503e75e287dc332b1ecbf2a665. Data publikacji CVE: 2018-01-03.