CVE-2017-7614

GNU Binutils: null pointer dereference w elflink.c biblioteki libbfd

CVSS 9.8v3.0pub. 2017-04-09upd. 2026-05-13

Podatność w pliku elflink.c biblioteki BFD (libbfd), wchodzącej w skład GNU Binutils 2.28, polega na dostępie do składowej przez wskaźnik null (null pointer dereference). Może umożliwić zdalnym atakującym wywołanie awarii aplikacji lub potencjalnie inne, nieokreślone skutki.

▸ Pokaż oryginał (EN)

elflink.c in the Binary File Descriptor (BFD) library (aka libbfd), as distributed in GNU Binutils 2.28, has a "member access within null pointer" undefined behavior issue, which might allow remote attackers to cause a denial of service (application crash) or possibly have unspecified other impact via an "int main() {return 0;}" program.

🤖 Analiza AI

Jak działa

Błąd ujawnia się jako niezdefiniowane zachowanie (undefined behavior) typu 'member access within null pointer' w pliku elflink.c. Przetworzenie specjalnie spreparowanego pliku binarnego — nawet tak prostego jak program 'int main() {return 0;}' — może wywołać dereferencję wskaźnika null. Prowadzi to do niekontrolowanego zakończenia działania procesu, a potencjalnie (nieokreślone) do dalszych skutków.

Skutki

Atakujący może doprowadzić do awarii aplikacji korzystającej z biblioteki libbfd (denial of service). Opis wskazuje również na możliwość wystąpienia nieokreślonych innych skutków, jednak ich natura nie została sprecyzowana.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Użytkownicy dystrybucji Gentoo powinni odnieść się do Gentoo Linux Security Advisory GLSA 201709-02.

Kogo dotyczy

GNU Binutils w wersji 2.28 (biblioteka libbfd, plik elflink.c)

Uwagi

Podatność została pierwotnie zgłoszona i opisana przez użytkownika bloga Gentoo Security (blogs.gentoo.org) w dniu 2017-04-05. Pomimo oceny CVSS 9.8 (CRITICAL), podatność nie figuruje na liście CISA KEV, a jej rzeczywisty wpływ poza DoS pozostaje nieokreślony.