CVE-2022-47629

Integer overflow w parserze podpisów CRL biblioteki Libksba

CVSS 9.8v3.1pub. 2022-12-20upd. 2025-04-16

Biblioteka Libksba w wersjach przed 1.6.3 zawiera podatność typu integer overflow w module parsującym podpisy list odwołanych certyfikatów (CRL). Krytyczny poziom CVSS 9.8 oznacza, że atakujący zdalny, nieuwierzytelniony może potencjalnie przejąć kontrolę nad systemem.

▸ Pokaż oryginał (EN)

Libksba before 1.6.3 is prone to an integer overflow vulnerability in the CRL signature parser.

🤖 Analiza AI

Jak działa

Podatność wynika z przepełnienia liczby całkowitej (integer overflow) podczas przetwarzania danych wejściowych w parserze podpisów CRL. Specjalnie spreparowany certyfikat lub lista CRL może wywołać błąd arytmetyczny, prowadząc do nieprzewidywalnego zachowania pamięci. Błąd należy do klasy CWE-190, co wskazuje na możliwość ominięcia kontroli bezpieczeństwa opartych na obliczeniach arytmetycznych.

Skutki

Atakujący może doprowadzić do uszkodzenia pamięci, a w konsekwencji do wykonania dowolnego kodu (RCE), ujawnienia poufnych danych lub destabilizacji działania aplikacji korzystającej z biblioteki Libksba.

Mitygacja

Należy zaktualizować bibliotekę Libksba do wersji 1.6.3 lub nowszej. Użytkownicy Debian Linux powinni zastosować patche dostępne w oficjalnych repozytoriach producenta (komunikat debian-lts-announce z grudnia 2022). Zaleca się również aktualizację wszystkich pakietów zależnych od Libksba.