CVE-2022-36938

RCE w Facebook Redex — out-of-bounds read przy ładowaniu pliku APK

CVSS 9.8v3.1pub. 2022-11-11upd. 2025-05-01

Funkcja get_stringidx_fromdex() w narzędziu Facebook Redex może odczytać dane spoza dozwolonego obszaru pamięci podczas przetwarzania tabeli indeksów ciągów znaków z pliku APK. Błąd może prowadzić do zdalnego wykonania kodu (RCE) przy analizie spreparowanego pliku APK pochodzącego od zewnętrznego źródła.

▸ Pokaż oryginał (EN)

DexLoader function get_stringidx_fromdex() in Redex prior to commit 3b44c64 can load an out of bound address when loading the string index table, potentially allowing remote code execution during processing of a 3rd party Android APK file.

🤖 Analiza AI

Jak działa

Podczas ładowania pliku APK moduł DexLoader wywołuje funkcję get_stringidx_fromdex(), która wczytuje tabelę indeksów ciągów znaków (string index table). Na skutek braku odpowiedniej walidacji rozmiaru lub wartości indeksu (CWE-125: out-of-bounds read, CWE-1284: nieprawidłowa walidacja wielkości indeksu) funkcja może załadować adres wykraczający poza przydzielony bufor pamięci. Przetworzenie złośliwie spreparowanego pliku APK może tym samym doprowadzić do wykonania niezamierzonego kodu.

Skutki

Atakujący dostarczający specjalnie spreparowany plik APK może doprowadzić do zdalnego wykonania kodu (RCE) w kontekście aplikacji przetwarzającej plik, uzyskując potencjalnie pełną kontrolę nad systemem ofiary — zagrożone jest poufność, integralność i dostępność danych.

Mitygacja

Należy zaktualizować Facebook Redex do wersji zawierającej commit 3b44c640346b77bfb7ef36e2413688dd460288d2 lub nowszej. Patch dostępny jest w oficjalnym repozytorium projektu na GitHub: https://github.com/facebook/redex/commit/3b44c640346b77bfb7ef36e2413688dd460288d2