CVE-2018-11058

Buffer Over-Read w RSA BSAFE podczas parsowania danych ASN.1

CVSS 9.8v3.1pub. 2018-09-14upd. 2024-11-21

RSA BSAFE Micro Edition Suite oraz RSA BSAFE Crypto-C Micro Edition zawierają podatność typu buffer over-read (CWE-125) podczas przetwarzania danych ASN.1. Luka umożliwia zdalnemu atakującemu, bez uwierzytelnienia, potencjalne ujawnienie danych, naruszenie integralności lub destabilizację systemu.

▸ Pokaż oryginał (EN)

RSA BSAFE Micro Edition Suite, versions prior to 4.0.11 (in 4.0.x) and prior to 4.1.6 (in 4.1.x), and RSA BSAFE Crypto-C Micro Edition, version prior to 4.0.5.3 (in 4.0.x) contain a Buffer Over-Read vulnerability when parsing ASN.1 data. A remote attacker could use maliciously constructed ASN.1 data that would result in such issue.

🤖 Analiza AI

Jak działa

Atakujący przesyła złośliwie spreparowane dane w formacie ASN.1, które są nieprawidłowo przetwarzane przez bibliotekę kryptograficzną BSAFE. Podczas parsowania tych danych dochodzi do odczytu poza granicami przydzielonego bufora pamięci (buffer over-read). Błąd jest możliwy do wywołania zdalnie, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika, co czyni go szczególnie niebezpiecznym.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych przechowywanych w pamięci procesu, a także potencjalnie wpłynąć na integralność systemu lub doprowadzić do jego niedostępności. Wysoki wynik CVSS (9.8) odzwierciedla pełne ryzyko naruszenia poufności, integralności i dostępności.

Mitygacja

Należy zaktualizować RSA BSAFE Micro Edition Suite do wersji 4.0.11 lub nowszej (linia 4.0.x) albo do wersji 4.1.6 lub nowszej (linia 4.1.x). RSA BSAFE Crypto-C Micro Edition należy zaktualizować do wersji 4.0.5.3 lub nowszej (linia 4.0.x). Użytkownicy produktów Oracle powinni zastosować patche dostępne u producenta zgodnie z biuletynami bezpieczeństwa Oracle CPU (styczeń 2020, kwiecień 2020, lipiec 2020).

Kogo dotyczy

RSA BSAFE Micro Edition Suite w wersjach wcześniejszych niż 4.0.11 (linia 4.0.x) oraz wcześniejszych niż 4.1.6 (linia 4.1.x); RSA BSAFE Crypto-C Micro Edition w wersjach wcześniejszych niż 4.0.5.3 (linia 4.0.x). Podatność dotyczy również produktów Oracle korzystających z tych bibliotek: Oracle Application Testing Suite, Oracle Communications Analytics — szczegółowe wersje wskazane w referencjach producenta Oracle.