CVE-2021-41253

Zydis x86/x86-64 disassembler kitabxanasıdır. Özəl formatter hook-ları daxilində etibarsız istifadəçi məlumatlarını formatter buferinə əlavə etmək üçün `zycore`-da təmin edilən sətir funksiyalarından istifadə edən v3.2.0 və daha köhnə versiya Zydis istifadəçiləri heap bufer daşması ilə qarşılaşa bilərlər. Zydis-in köhnə versiyaları formatter buferi daxilindəki sətir obyektini düzgün başlatmamış, bir neçə sahəni başlatmağı unutmuş və onların dəyərlərini təsadüfi saxlamışdır. Bu, öz növbəsində `ZyanStringAppend` kimi zycore funksiyalarının yeni hədəf ölçüsü üçün yanlış hesablamalar aparmasına səbəb ola bilər ki, bu da heap yaddağının korlanması ilə nəticələnir. Bu, standart, fərdiləşdirilməmiş Zydis formatter-ə təsir etmir, çünki Zydis daxili olaraq həmin sahələr üzərində əməliyyat aparan zycore sətir funksiyalarından istifadə etmir. Lakin, zycore sətir funksiyaları formatter-i genişləndirmək istəyən kitabxana istifadəçiləri üçün formatter buferi ilə işləməyin nəzərdə tutulmuş yolu olduğu üçün biz bunu yenə də Zydis-də zəiflik hesab edirik. Bu xəta 3.2.1 versiyasından başlayaraq aradan qaldırılmışdır. Müvəqqəti həll yolu kimi, istifadəçilər düzəliş edilmiş versiyaya yeniləyənə qədər formatter hook-larında zycore sətir funksiyalarından istifadə etməkdən çəkinə bilərlər.