Albert Gierlach

توجد مشكلة حيث يتم إتلاف طول المخزن المؤقت التزايدي عن طريق القطع بعد نهايته في الدالة `incr skip()` بعد رقم من المستوى الأعلى. يعامل المحلل التزايدي أي سلسلة من الأرقام والعلامات والنقاط وعلامات الأس كرقماً واحداً، ولكن فك التشفير يتوقف عند نهاية رقم صالح، مما يترك إزاحة في البايتات التي لم يتم فك تشفيرها. عندما يتم إفراغ المخزن المؤقت دون مسح تلك البايتات، فإن استدعاء `incr parse()` لاحقاً بدون إدخال جديد يقرأها مرة أخرى وينقل الإزاحة إلى ما بعد نهاية المخزن المؤقت. وبناءً على ذلك، تقوم `incr skip()` بإزالة تلك البايتات، مما يؤدي إلى التفاف طول المخزن المؤقت. يمكن للمهاجم الذي يرسل إدخالاً مثل "1-2" إلى مستهلك `incr parse` أن يتسبب في خروج العملية من خلال مسار نفاد الذاكرة غير القابل للاعتراض في لغة Perl.

توجد مشكلة في الدالة `incr parse()` حيث تحدث عملية كتابة لبايت واحد خارج حدود ذاكرة الـ heap عند إلحاق قطعة (chunk) بحجم بايت واحد. يحدث هذا لأن المخزن المؤقت التزايدي ينمو إلى مرة ونصف الطول المطلوب، دون حجز مساحة لمحرف NUL النهائي. في الحالات التي تتضمن مخزناً مؤقتاً فارغاً وقطعة بحجم بايت واحد، يتم كتابة محرف NUL بعد تخصيص الذاكرة ببايت واحد إذا لم يتم إعادة تخصيص الذاكرة. يمكن لجهة نظيرة تقوم ببث البيانات إلى مستهلك `incr parse` أن تتسبب في ذلك من خلال التحكم في كيفية تقسيم المدخلات إلى عمليات قراءة.

JSON::XS versions from 3.0 before 4.05 for Perl read freed stack memory when a FREEZE result's serialisation grows the Perl stack under allow tags in encode rv. With allow tags, an object's FREEZE method is called in list context and each returned value is encoded through a saved Perl stack pointer. When encoding a returned value calls back into Perl, through TO JSON under convert blessed or another FREEZE, and that callback grows the stack, the stack is reallocated while the saved pointer still refers to the freed block. Encoding such objects reads freed memory, and encode can return undef without an error.