CVE-2021-32292

Stack-buffer-overflow w bibliotece json-c (funkcja parseit)

CVSS 9.8v3.1pub. 2023-08-22upd. 2025-06-25

W bibliotece json-c, w wersjach od 20200420 (kod po wydaniu 0.14) do 0.15-20200726, wykryto przepełnienie bufora na stosie (stack-buffer-overflow) w pomocniczym programie json_parse. Podatność uzyskała ocenę CVSS 9.8, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

An issue was discovered in json-c from 20200420 (post 0.14 unreleased code) through 0.15-20200726. A stack-buffer-overflow exists in the auxiliary sample program json_parse which is located in the function parseit.

🤖 Analiza AI

Jak działa

Błąd typu stack-buffer-overflow (CWE-787 — zapis poza granicami bufora) występuje w funkcji parseit pomocniczego programu json_parse, wchodzącego w skład biblioteki json-c. Nieprawidłowo przetworzone dane wejściowe mogą spowodować nadpisanie obszarów pamięci poza przydzielonym buforem na stosie. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni go szczególnie niebezpiecznym.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie kodu (RCE) lub wywołanie odmowy usługi (DoS), potencjalnie prowadząc do pełnego przejęcia kontroli nad systemem — w tym naruszenia poufności, integralności i dostępności danych.

Mitygacja

Należy zaktualizować bibliotekę json-c do wersji nowszej niż 0.15-20200726. Użytkownicy NetApp Active IQ Unified Manager powinni zastosować patche wskazane w poradniku producenta (ntap-20230929-0010). Użytkownicy systemów Debian powinni zastosować aktualizację opisaną w DSA-5486.

Kogo dotyczy

Biblioteka json-c w wersjach od 20200420 (kod po wydaniu 0.14, unreleased) do 0.15-20200726 oraz NetApp Active IQ Unified Manager korzystający z podatnej wersji json-c.