CVE-2019-3563

Buffer underflow w Facebook Wangle LineBasedFrameDecoder

CVSS 9.8v3.1pub. 2019-04-29upd. 2024-11-21

Biblioteka Facebook Wangle zawiera błąd w komponencie LineBasedFrameDecoder, który nieprawidłowo przesuwa wskaźnik bufora podczas identyfikacji znaków nowej linii, prowadząc do potencjalnego przepełnienia bufora (underflow). Podatność uzyskała ocenę CVSS 9.8, co czyni ją krytycznym zagrożeniem dla aplikacji korzystających z tej biblioteki.

▸ Pokaż oryginał (EN)

Wangle's LineBasedFrameDecoder contains logic for identifying newlines which incorrectly advances a buffer, leading to a potential underflow. This affects versions of Wangle prior to v2019.04.22.00

🤖 Analiza AI

Jak działa

Komponent LineBasedFrameDecoder w bibliotece Wangle odpowiada za dekodowanie ramek danych na podstawie znaków nowej linii. Błędna logika identyfikacji tych znaków powoduje nieprawidłowe przesunięcie wskaźnika bufora (buffer advance), co może doprowadzić do sytuacji underflow — odczytu lub zapisu poza granicą przydzielonej pamięci. Luka sklasyfikowana jest jako CWE-126 (buffer over-read) oraz CWE-787 (out-of-bounds write), co wskazuje na możliwość zarówno nieuprawnionego odczytu, jak i zapisu danych w pamięci.

Skutki

Atakujący może zdalnie, bez uwierzytelnienia, doprowadzić do uszkodzenia pamięci procesu, co w konsekwencji może umożliwić wykonanie dowolnego kodu (RCE), ujawnienie poufnych danych lub destabilizację działania aplikacji.

Mitygacja

Należy zaktualizować bibliotekę Facebook Wangle do wersji v2019.04.22.00 lub nowszej. Poprawka dostępna jest w repozytorium GitHub projektu (commit 5b3bceca875e4ea4ed9d14c20b20ce46c92c13c6).