CVE-2026-39853
Açıklama
osslsigncode, Authenticode imzalama ve zaman damgalama işlemlerini gerçekleştiren bir araçtır. 2.12 sürümünden önce, osslsigncode içerisinde birkaç imza doğrulama yolunda bir yığın arabellek taşması (stack buffer overflow) zafiyeti bulunmaktadır. Bir PKCS#7 imzasının doğrulanması sırasında kod, ayrıştırılmış bir SpcIndirectDataContent yapısındaki özet değerini, kaynak uzunluğunun hedef arabelleğe sığdığını doğrulamadan sabit boyutlu bir yığın arabelleğine (mdbuf[EVP_MAX_MD_SIZE], 64 bayt) kopyalar. Bu durum; PE, MSI, CAB ve betik dosyaları için doğrulama işleyicilerinde mevcuttur. Bir saldırgan, SpcIndirectDataContent içinde aşırı boyutlandırılmış bir özet alanı içeren kötü amaçlı imzalı bir dosya oluşturabilir. Bir kullanıcı böyle bir dosyayı osslsigncode verify ile doğruladığında, sınırsız memcpy işlemi yığın arabelleğini taşırabilir ve bitişik yığın durumunu bozabilir. Bu zafiyet 2.12 sürümünde giderilmiştir.
Nasıl düzeltilir
- osslsigncode_project osslsigncode2.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| osslsigncode_project osslsigncode | v < 2.12 | 2.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.