CVE-2024-45402
Açıklama
Picotls, kullanıcıların kullanım durumlarına göre farklı kripto arka uçları seçmelerine olanak tanıyan bir TLS protokol kütüphanesidir. Sahte bir TLS el sıkışma mesajı ayrıştırılırken, picotls (özellikle kripto kütüphanelerini çağıran picotls içindeki bağlamalar), aynı belleği iki kez serbest bırakmaya çalışabilir. Bu double free durumu, araya herhangi bir malloc çağrısı girmeden birden fazla nesnenin imhası sırasında meydana gelir. Genellikle bu durum, malloc uygulamasının hatayı tespit ederek işlemi sonlandırmasını tetikler. Ancak, malloc'un dahili yapısına ve kullanılan kripto arka ucuna bağlı olarak, bu açık potansiyel olarak bir use-after-free senaryosuna yol açabilir ve bu da rastgele kod çalıştırmaya izin verebilir. Zafiyet, 9b88159ce763d680e4a13b6e8f3171ae923a535d numaralı commit ile giderilmiştir.
Nasıl düzeltilir
- dena picotls2024-10-10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dena picotls | 2024-08-12 ≤ v < 2024-10-10 | 2024-10-10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.