Podatność CVE-2016-9939

Podatność CVE-2016-9939

Publikacja: 2017-01-30 Modyfikacja: 2017-01-31

Opis:

Crypto++ (aka cryptopp and libcrypto++) 5.6.4 contained a bug in its ASN.1 BER decoding routine. The library will allocate a memory block based on the length field of the ASN.1 object. If there is not enough content octets in the ASN.1 object, then the function will fail and the memory block will be zeroed even if its unused. There is a noticeable delay during the wipe for a large allocation.

Typ:

CWE-20

(Improper Input Validation)

CVSS2 => (AV:N/AC:L/Au:N/C:N/I:N/A:P)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
5/10	2.9/10	10/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Niska	Nie wymagana
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Brak	Brak	Częściowy

Affected software
Debian -> Debian linux
Cryptopp -> Crypto++

Referencje:

http://www.debian.org/security/2016/dsa-3748

http://www.openwall.com/lists/oss-security/2016/12/12/7

http://www.securityfocus.com/bid/94854

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/7IL5A6465IEPW5GAWGXB2ENJPFYVWTJM/

Copyright 2024, cxsecurity.com