CVE-2022-0318

Heap-based Buffer Overflow w Vim — przepełnienie sterty przed wersją 8.2

CVSS 9.8v3.1pub. 2022-01-21upd. 2024-11-21

W edytorze tekstu Vim w wersjach wcześniejszych niż 8.2 wykryto krytyczne przepełnienie bufora na stercie (heap-based buffer overflow). Podatność umożliwia zdalnemu atakującemu przejęcie kontroli nad systemem bez jakiegokolwiek uwierzytelnienia.

▸ Pokaż oryginał (EN)

Heap-based Buffer Overflow in vim/vim prior to 8.2.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej obsłudze zapisu poza granicami przydzielonego obszaru pamięci na stercie (CWE-122, CWE-787). Atakujący może dostarczyć spreparowany plik lub dane wejściowe, które powodują przekroczenie granic bufora podczas przetwarzania przez Vim. Skutkuje to nadpisaniem sąsiednich obszarów pamięci, co może prowadzić do wykonania dowolnego kodu.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem, w tym możliwość odczytu i modyfikacji danych oraz wywołania odmowy usługi (DoS). Wektor CVSS wskazuje na możliwość utraty poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Vim do wersji 8.2 lub nowszej. Poprawka dostępna jest w repozytorium projektu (commit 57df9e8a9f9ae1aafdde9b86b10ad907627a87dc). Użytkownicy systemów Apple macOS i Debian Linux powinni zastosować patche dostępne u producenta systemu operacyjnego zgodnie z referencjami.