CVE-2019-11835

Dostęp poza zakresem pamięci w cJSON związany z komentarzami wieloliniowymi

CVSS 9.8v3.1pub. 2019-05-09upd. 2025-07-22

Biblioteka cJSON w wersjach przed 1.7.11 zawiera podatność umożliwiającą dostęp poza zakresem pamięci (out-of-bounds access) podczas przetwarzania komentarzy wieloliniowych. Krytyczny poziom CVSS 9.8 oznacza, że exploit może być przeprowadzony zdalnie bez uwierzytelnienia i bez interakcji użytkownika.

▸ Pokaż oryginał (EN)

cJSON before 1.7.11 allows out-of-bounds access, related to multiline comments.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi komentarzy wieloliniowych w parserze JSON biblioteki cJSON. Podczas analizy złośliwie spreparowanego wejścia zawierającego taki komentarz dochodzi do odczytu lub zapisu poza przydzielonym obszarem pamięci (CWE-125: out-of-bounds read, CWE-787: out-of-bounds write). Atakujący może dostarczyć spreparowane dane JSON do aplikacji korzystającej z podatnej wersji biblioteki, wywołując nieprzewidywalne zachowanie procesu.

Skutki

Pomyślne wykorzystanie podatności może prowadzić do ujawnienia poufnych danych z pamięci procesu, uszkodzenia danych lub wykonania dowolnego kodu (RCE), a także do awarii aplikacji (denial of service). Pełna triada CIA jest zagrożona, co odzwierciedla ocena CVSS 9.8.

Mitygacja

Należy zaktualizować bibliotekę cJSON do wersji 1.7.11 lub nowszej. Dla Oracle TimesTen In-Memory Database należy zastosować patche dostępne u producenta zgodnie z biuletynem bezpieczeństwa Oracle CPU October 2020.

Kogo dotyczy

Biblioteka cJSON w wersjach przed 1.7.11 oraz produkty wbudowujące podatną wersję biblioteki, w tym Oracle TimesTen In-Memory Database (szczegółowe wersje wskazane w referencjach producenta Oracle).