CVE-2019-18397
Açıklama
GNU FriBidi 1.0.7 ve öncesindeki lib/fribidi-bidi.c dosyasında bulunan fribidi_get_par_embedding_levels_ex() fonksiyonundaki bir arabellek taşması, saldırganın kullanıcıya özel olarak hazırlanmış metin içeriği iletmesiyle hizmet reddine neden olmasına veya muhtemelen rastgele kod çalıştırmasına olanak tanır; bu durum, söz konusu içeriğin metin düzen hesaplamaları için FriBidi kullanan bir uygulama tarafından işlenmesi durumunda gerçekleşir. Metin düzeni için Pango kullanan tüm GNOME veya GTK+ tabanlı uygulamalar buna örnektir, çünkü bunlar çift yönlü metin düzeni için dahili olarak FriBidi kullanır. Örneğin saldırgan, GEdit'te açılmak üzere hazırlanmış bir metin dosyası veya HexChat'te görüntülenmek üzere hazırlanmış bir IRC mesajı oluşturabilir.
Nasıl düzeltilir
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/W5UJRTG32FDNI7T637Q6PZYL3UCRR5HR/
- access.redhat.com/errata/RHSA-2019:4326
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TFS3N6KKXPI6ATDNEUFRSLX7R6BOBNIP/
- access.redhat.com/errata/RHSA-2019:4361
- access.redhat.com/errata/RHSA-2020:0291
- security.gentoo.org/glsa/202003-41
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gnu fribidi | 1.0.0 ≤ v ≤ 1.0.7 | — |
| debian debian_linux | 10.0, 8.0, 9.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.