ثغرة فيضان المخزن المؤقت لتكديس الذاكرة عبر paintPoly في picttoppm ضمن Netpbm قبل الإصدارات 10.86.51، 11.02.30، و11.15.08

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي Netpbm قبل الإصدارات 10.86.51، والإصدارات 11.x قبل 11.02.30، والإصدارات 11.03 قبل 11.15.08 على ثغرة فيضان المخزن المؤقت القائم على التكديس (stack-based buffer overflow) في دالة picttoppm paintPoly() بسبب عدد نقاط مضلع غير محدد. يمكن للمهاجمين توفير ملف PICT معد خصيصًا بمضلع يتجاوز 100 نقطة للكتابة فوق مصفوفة pts الثابتة، مما يتسبب في حدوث أعطال أو احتمال تنفيذ شيفرة.

المعالجة

1. أحصِ جميع نشرات Netpbm Netpbm، بما فيها بيئات الاختبار.
2. رقِّ Netpbm Netpbm إلى الإصدار المصحَّح الخاص بفرعك، كما يظهر في جدول الإصدارات المتأثرة.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://sourceforge.net/p/netpbm/code/5328/
• تحذيرhttps://www.vulncheck.com/advisories/netpbm-before-10.86.51-11.02.30-and-11.15.08-picttoppm-stack-buffer-overflow-via-paintpoly
• مرجعhttps://svn.code.sf.net/p/netpbm/code/!svn/bc/5327/trunk/converter/ppm/picttoppm.c
• مرجعhttps://svn.code.sf.net/p/netpbm/code/!svn/bc/5357/advanced/doc/HISTORY
• مرجعhttps://svn.code.sf.net/p/netpbm/code/!svn/bc/5358/stable/doc/HISTORY
• مرجعhttps://svn.code.sf.net/p/netpbm/code/!svn/bc/5371/super_stable/doc/HISTORY