Множественные уязвимости в PCRE

Дата публикации:
06.11.2007
Дата изменения:
16.04.2008
Всего просмотров:
2370
Опасность:
Средняя
Наличие исправления:
Да
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
CVE-2007-1659
CVE-2007-1660
CVE-2007-1661
CVE-2007-1662
CVE-2007-4766
CVE-2007-4767
CVE-2007-4768
Вектор эксплуатации:
Удаленная
Воздействие:
Отказ в обслуживании
Раскрытие важных данных
Компрометация системы
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
PCRE 6.x
PCRE 7.x
Уязвимые версии: PCRE версии до 7.3

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю получить доступ к важным данным, вызвать отказ в обслуживании и скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки при обработке "\Q\E" последовательностей с отделенными (orphan) "\E" кодами. Злоумышленники может рассинхронизировать скомпилированное регулярное выражение и выполнить поврежденные байт-коды.

2. Уязвимость существует из-за ошибки при обработке различных классов символов. Злоумышленник может заставить приложение обратится к несуществующей ячейке памяти и вызвать отказ в обслуживании.

3. Уязвимость существует из-за ошибки при обработке различных "\X?\d" и "\P{L}?\d" шаблонов в отличном от UTF-8 режиме. Злоумышленник может вызвать отказ в обслуживании процесса или получить доступ к некоторым данным.

4. Уязвимость существует из-за ошибки при поиске кавычек или круглых скобок. Злоумышленник может с помощью специально сформированной строки аварийно завершить работу приложения.

5. Целочисленные переполнения буфера обнаружены при обработке escape-символов. Удаленный пользователь может вызвать повреждение динамической памяти и аварийно завершить работу приложения или выполнить произвольный код на целевой системе.

6. Уязвимость существует из-за ошибки при обработке "\P" и "\P{x}" последовательностей. Злоумышленник может вызвать зацикливание приложения или переполнение динамической памяти и скомпрометировать целевую систему.

7. Уязвимость существует из-за ошибки в оптимизации класса символов, содержащего одиночную Unicode последовательность. Злоумышленник может вызвать переполнение динамической памяти и выполнить произвольный код на целевой системе.

URL производителя: www.pcre.org

Решение: Установите последнюю версию 7.3 с сайта производителя.

или введите имя

CAPTCHA