CVE-2021-41253

Zydis bir x86/x86-64 disassemble kütüphanesidir. Özel formatter hook'ları içerisinde güvenilmeyen kullanıcı verilerini formatter tamponuna eklemek için `zycore` tarafından sağlanan dize fonksiyonlarını kullanan v3.2.0 ve daha eski Zydis sürümlerini kullanan kullanıcılar, yığın tampon taşmalarıyla karşılaşabilir. Zydis'in eski sürümleri, formatter tamponundaki dize nesnesini düzgün şekilde başlatmayı başaramamış, birkaç alanı başlatmayı unutarak değerlerini şansa bırakmıştır. Bu durum, `ZyanStringAppend` gibi zycore fonksiyonlarının yeni hedef boyut için yanlış hesaplamalar yapmasına neden olarak yığın belleğinin bozulmasıyla sonuçlanabilir. Zydis dahili olarak bu alanlar üzerinde işlem yapan zycore dize fonksiyonlarını kullanmadığı için bu durum standart, özelleştirilmemiş Zydis formatter'ını etkilemez. Ancak, zycore dize fonksiyonları, formatter'ı genişletmek isteyen kütüphane kullanıcıları için formatter tamponu ile çalışmanın öngörülen yolu olduğundan, bunu yine de Zydis'te bir güvenlik açığı olarak değerlendiriyoruz. Bu hata 3.2.1 sürümüyle birlikte düzeltilmiştir. Geçici bir çözüm olarak kullanıcılar, yamalanmış bir sürüme güncelleyene kadar formatter hook'larında zycore dize fonksiyonlarını kullanmaktan kaçınabilirler.