CVE-2018-18314

Buffer overflow w Perl via spreparowane wyrażenie regularne

CVSS 9.8v3.0pub. 2018-12-07upd. 2024-11-21

Perl w wersjach przed 5.26.3 zawiera podatność typu buffer overflow, którą można wywołać za pomocą spreparowanego wyrażenia regularnego. Ze względu na sieciowy wektor ataku i brak wymaganych uprawnień podatność stanowi poważne zagrożenie dla systemów przetwarzających niezaufane dane.

▸ Pokaż oryginał (EN)

Perl before 5.26.3 has a buffer overflow via a crafted regular expression that triggers invalid write operations.

🤖 Analiza AI

Jak działa

Podatność polega na błędzie zarządzania pamięcią (CWE-119) w silniku wyrażeń regularnych Perla. Atakujący może dostarczyć specjalnie skonstruowane wyrażenie regularne, które podczas przetwarzania wywołuje nieprawidłowe operacje zapisu poza przydzielonym buforem. Prowadzi to do uszkodzenia pamięci procesu.

Skutki

Pomyślne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie dowolnego kodu (RCE) z uprawnieniami procesu przetwarzającego wyrażenie regularne, a także doprowadzić do naruszenia poufności i integralności danych lub niedostępności systemu.

Mitygacja

Należy zaktualizować Perl do wersji 5.26.3 lub nowszej. Dla systemów Red Hat dostępne są poprawki opisane w erratach RHSA-2019:0001 oraz RHSA-2019:0010. Użytkownicy Ubuntu powinni zastosować patche dostępne u producenta zgodnie z referencjami.