CVE-2020-6151

Uszkodzenie pamięci w Accusoft ImageGear — obsługa plików TIFF PACKBITS

CVSS 9.8v3.1pub. 2020-09-01upd. 2024-11-21

W Accusoft ImageGear 19.7 istnieje krytyczna podatność powodująca uszkodzenie pamięci (memory corruption) podczas przetwarzania plików TIFF z kompresją PACKBITS. Atakujący może wywołać podatność przez dostarczenie ofierze specjalnie spreparowanego, złośliwego pliku.

▸ Pokaż oryginał (EN)

A memory corruption vulnerability exists in the TIFF handle_COMPRESSION_PACKBITS functionality of Accusoft ImageGear 19.7. A specially crafted malformed file can cause a memory corruption. An attacker can provide a malicious file to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność tkwi w funkcji obsługującej kompresję PACKBITS w module parsowania plików TIFF (handle_COMPRESSION_PACKBITS). Specjalnie spreparowany, zniekształcony plik TIFF powoduje nieprawidłową operację zapisu poza granicami bufora (out-of-bounds write, CWE-787) oraz błąd konwersji typów (CWE-704), co skutkuje uszkodzeniem pamięci procesu. Do wywołania podatności wystarczy, że aplikacja otworzy lub przetworzy złośliwy plik — nie jest wymagana żadna interakcja użytkownika poza otwarciem pliku.

Skutki

Pomyślne wykorzystanie podatności może umożliwić atakującemu wykonanie dowolnego kodu (RCE) w kontekście aplikacji lub doprowadzić do naruszenia poufności, integralności i dostępności systemu. Ze względu na krytyczny wynik CVSS 9.8 oraz brak wymagań co do uprawnień i interakcji, potencjalny wpływ jest bardzo szeroki.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o dostępnych poprawkach znajdują się w raporcie Cisco Talos: https://talosintelligence.com/vulnerability_reports/TALOS-2020-1095. Należy unikać przetwarzania plików TIFF z niezaufanych źródeł do czasu wdrożenia łatki.