CVE-2021-30473

Nieprawidłowe zwolnienie pamięci spoza sterty w libaom (AOMedia)

CVSS 9.8v3.1pub. 2021-05-06upd. 2024-11-21

Podatność w pliku aom_image.c biblioteki libaom (AOMedia) polega na zwalnianiu pamięci, która nie jest zlokalizowana na stercie (heap). Błąd uzyskał ocenę CVSS 9.8, co czyni go podatnością krytyczną, umożliwiającą zdalny atak bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

aom_image.c in libaom in AOMedia before 2021-04-07 frees memory that is not located on the heap.

🤖 Analiza AI

Jak działa

Funkcja w pliku aom_image.c wywołuje operację zwolnienia pamięci (free) na wskaźniku odnoszącym się do obszaru pamięci spoza sterty, co jest nieprawidłowe i niezdefiniowane behawioralnie. Tego rodzaju błąd (CWE-763 – Release of Invalid Pointer or Reference) może prowadzić do uszkodzenia pamięci procesu. Atakujący może potencjalnie spreparować odpowiednie dane wejściowe, aby wywołać ten błąd i przejąć kontrolę nad przepływem wykonania programu.

Skutki

Pomyślne wykorzystanie podatności może pozwolić atakującemu na zdalne wykonanie dowolnego kodu (RCE) w kontekście procesu przetwarzającego dane wideo, a także na naruszenie poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować bibliotekę libaom do wersji zawierającej poprawkę wprowadzoną po 2021-04-07 (commit 4efe20e99dcd9b6f8eadc8de8acc825be7416578). Użytkownicy dystrybucji Fedora i Debian powinni zastosować patche dostępne w oficjalnych repozytoriach zgodnie z komunikatami bezpieczeństwa wydanych przez te dystrybucje.

Kogo dotyczy

Biblioteka libaom w AOMedia w wersjach przed 2021-04-07; produkty dystrybucji Fedora oraz Debian korzystające z podatnej wersji libaom.

Uwagi

Poprawka została wprowadzona commitem 4efe20e99dcd9b6f8eadc8de8acc825be7416578 w repozytorium AOMedia. Podatność zgłoszona w systemie śledzenia błędów AOMedia jako issue #2998.