CVE-2023-35002

Heap-based buffer overflow w Accusoft ImageGear 20.1 — RCE przez złośliwy plik

CVSS 9.8v3.1pub. 2023-09-25upd. 2025-11-04

W bibliotece Accusoft ImageGear 20.1 wykryto krytyczną podatność heap-based buffer overflow w funkcji pictwread. Umożliwia ona zdalne wykonanie dowolnego kodu (RCE) poprzez dostarczenie ofierze specjalnie spreparowanego, zniekształconego pliku.

▸ Pokaż oryginał (EN)

A heap-based buffer overflow vulnerability exists in the pictwread functionality of Accusoft ImageGear 20.1. A specially crafted malformed file can lead to arbitrary code execution. An attacker can provide a malicious file to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność tkwi w funkcji pictwread odpowiedzialnej za przetwarzanie plików graficznych. Atakujący przygotowuje złośliwy, celowo zniekształcony plik, którego przetworzenie przez bibliotekę powoduje przepełnienie bufora na stercie (heap-based buffer overflow). Błąd sklasyfikowany jako CWE-119 wskazuje na nieprawidłowe ograniczenie operacji w obrębie bufora pamięci. Przepełnienie bufora pozwala atakującemu na nadpisanie krytycznych struktur pamięci i w konsekwencji przejęcie kontroli nad przepływem wykonania programu.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na wykonanie dowolnego kodu w kontekście aplikacji korzystającej z biblioteki ImageGear, co może prowadzić do pełnego przejęcia kontroli nad systemem, ujawnienia poufnych danych lub zakłócenia jego działania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o poprawkach dostępne są w raporcie Cisco Talos pod adresem: https://talosintelligence.com/vulnerability_reports/TALOS-2023-1760

Kogo dotyczy

Accusoft ImageGear w wersji 20.1

Uwagi

Podatność została odkryta i zgłoszona przez Cisco Talos (identyfikator wewnętrzny TALOS-2023-1760). Wektor ataku nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika poza otwarciem złośliwego pliku.