CVE-2023-25563
Açıklama
GSS-NTLMSSP, GSSAPI kütüphanesi için NTLM kimlik doğrulamasını uygulayan bir mechglue eklentisidir. Versiyon 1.2.0 öncesinde, NTLM alanları çözümlenirken meydana gelen birden fazla sınır dışı okuma (out-of-bounds read), hizmet reddine (denial of service) yol açabilir. 32 bitlik bir tam sayı taşması durumu, dahili tamponların uzunluk tutarlılığının yanlış kontrol edilmesine neden olabilir. Çoğu uygulama, 4 GB uzunluğundaki tek bir giriş tamponunu kabul etmeden önce hata verecek olsa da bu durum teorik olarak gerçekleşebilir. Bu güvenlik açığı, eğer uygulama 4 GB'dan daha büyük tokenlara izin veriyorsa, ana `gss_accept_sec_context` giriş noktası üzerinden tetiklenebilir. Bu durum, eşlenmemiş bellekten okuma yapılması halinde hizmet reddine neden olabilecek 65 KB'a kadar büyük bir sınır dışı okumaya yol açabilir. Versiyon 1.2.0, sınır dışı okumalar için bir yama içermektedir.
Nasıl düzeltilir
- gss-ntlmssp_project gss-ntlmssp1.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gss-ntlmssp_project gss-ntlmssp | v < 1.2.0 | 1.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.