CVE-2018-18313

Perl: buffer over-read w obsłudze wyrażeń regularnych — wyciek pamięci

CVSS 9.1v3.0pub. 2018-12-07upd. 2024-11-21

Podatność w Perl przed wersją 5.26.3 umożliwia odczyt poza granicami bufora (CWE-125) poprzez spreparowane wyrażenie regularne. Może to prowadzić do ujawnienia wrażliwych danych z pamięci procesu zdalnym, nieuwierzytelnionym atakującym.

▸ Pokaż oryginał (EN)

Perl before 5.26.3 has a buffer over-read via a crafted regular expression that triggers disclosure of sensitive information from process memory.

🤖 Analiza AI

Jak działa

Atakujący dostarcza specjalnie skonstruowane wyrażenie regularne, które podczas przetwarzania przez silnik Perla powoduje odczyt danych spoza zarezerwowanego obszaru bufora w pamięci. W wyniku tego mechanizmu (buffer over-read) możliwe jest ujawnienie zawartości pamięci procesu, która może zawierać wrażliwe informacje. Błąd nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni go szczególnie niebezpiecznym w aplikacjach przetwarzających dane wejściowe od użytkowników.

Skutki

Atakujący może uzyskać dostęp do wrażliwych danych przechowywanych w pamięci procesu (np. kluczy kryptograficznych, haseł, danych sesji) oraz wywołać awarię aplikacji (denial of service) poprzez nieoczekiwane zakończenie procesu.

Mitygacja

Należy zaktualizować Perl do wersji 5.26.3 lub nowszej. Użytkownicy Red Hat powinni zastosować poprawki opisane w erratach RHSA-2019:0001 oraz RHSA-2019:0010. Użytkownicy Ubuntu Linux powinni zainstalować aktualizacje dostępne w repozytoriach dystrybucji zgodnie z referencjami producenta.