基于堆的缓冲区被过度读取

CVE编号

CVE-2019-17264

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-10-07

漏洞描述

**有争议的**在20191006之前的libyal liblnk中，liblnk_location_information.c中的liblnk_location_information_read_data具有基于堆的缓冲区被读取，因为不正确的变量名用于特定偏移量。注意：供应商对此有异议，如GitHub问题中所述。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://github.com/libyal/liblnk/commit/c4d04de2c76f62129677c90a616d049be9c52482

参考链接
https://github.com/libyal/liblnk/compare/20181227...20191006
https://github.com/libyal/liblnk/issues/38

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	liblnk_project	liblnk	*		Up to (excluding) 20191006
	运行在以下环境
	系统	debian_10	liblnk	*		Up to (excluding) 20181227-1
	运行在以下环境
	系统	debian_11	liblnk	*		Up to (excluding) 20181227-1.1
	运行在以下环境
	系统	debian_12	liblnk	*		Up to (excluding) 20181227-1.1
	运行在以下环境
	系统	debian_9	liblnk	*		Up to (excluding) 20170111-1
	运行在以下环境
	系统	debian_sid	liblnk	*		Up to (excluding) 20181227-1.1
查看完整数据

阿里云评分 2.7

• 攻击路径 本地
• 攻击复杂度 容易
• 权限要求 普通权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-125 跨界内存读 CWE-682 数值计算不正确