Deus Rex

Grid Community Toolkit before 6.2.20261111 (globus-gss-assist before 12.9) contains a heap out-of-bounds write in globus gss assist token get fd() triggered by SSLv2 record lengths below 3. Remote unauthenticated clients can send a crafted GSI handshake record to services like globus-gatekeeper and myproxy to corrupt heap memory and crash the service.

xschem 2.9.9 through 3.4.7 contains a heap out-of-bounds write vulnerability in read dataset() in src/rawtovcd.c due to an unchecked variable index. Attackers can supply a crafted ngspice .raw file that, when converted with rawtovcd, writes file-controlled heap pointers at chosen signed offsets, corrupting heap memory.

xschem 2.9.9 through 3.4.7 contains an out-of-bounds read vulnerability in read xschem file() in src/save.c that mishandles embedded-symbol records lacking a preceding instance. Attackers can supply a crafted schematic beginning with a "[" record, causing xschem to read and dereference memory below the instance array and crash.

Gwenhywfar 4.99.8beta before 5.14.2 contains a stack-based buffer overflow in GWEN TLV Buffer To DB() in src/parser/tlv.c when decoding BER-TLV tags into a fixed 128-byte buffer. Attackers can supply a record with about 127 or more tag continuation bytes or a truncated multi-byte tag, such as via a malicious chip card's EF SSD file read by libchipcard's ZKA driver, to crash the application.

apitrace 2.0 through 14.0 contains a heap-based buffer overflow in SnappyFile::flushReadCache() that allows attackers to write past m compressedCache via an oversized compressed chunk length. Attackers can supply a crafted .trace file whose 4-byte chunk length exceeds the fixed buffer size, corrupting heap memory when users dump, inspect, or replay it.

Gwenhywfar 5.14.2 contains a heap use-after-free vulnerability in GWEN TLV Buffer To DB() in src/parser/tlv.c, which frees a nested record's GWEN DB node when parsing of its contents fails but continues processing and adds the freed node to the parent instead of returning. Attackers can supply a constructed BER-TLV record with unparseable contents, such as via a malicious chip card read by libchipcard, to corrupt heap memory.

EDFbrowser before 2.16 contains an out-of-bounds write vulnerability in check edf file() that allows attackers to overflow the 256-element annot ch array by supplying excessive annotation signals. Attackers can craft an EDF+ or BDF+ file with more than 256 annotation signals to overwrite edfhdrblock members, including the signal parameter pointer, crashing the application when opened.

libnxml before 0.18.6 contains a stack-based buffer overflow vulnerability in src/nxml parser.c that allows remote attackers to write past a 1024-byte stack buffer via long XML names. Attackers can supply XML or RSS feeds with a 1022-character element, attribute, DOCTYPE or entity name ending in a multi-byte UTF-8 character to crash parsing applications.

eBook-speaker 6.1.0 through 6.2.0 contains a stack buffer overflow vulnerability in get attributes() in src/common.c caused by an unbounded strcpy of an element's name attribute. Attackers can craft an EPUB or DAISY book with a name attribute of 511 or more characters to corrupt the stack and crash the reader when opened.

VRPN through 07.36 contains an out-of-bounds stack write vulnerability in vrpn Endpoint::handle sender message() and handle type message() that allows unauthenticated remote peers to write outside a stack buffer via an unchecked length index. Attackers can connect, complete the version-cookie exchange, and send a SENDER DESCRIPTION or TYPE DESCRIPTION message with an out-of-range or negative index to crash the process.

NEURON (CoreNEURON) through 9.0.2 contains a stack buffer overflow vulnerability that allows attackers to corrupt stack memory by supplying over-long tokens in a crafted model dataset. Attackers can place oversized version or mechanism-name tokens in bbcore mech.dat, globals.dat, or files.dat loaded by nrniv-core to crash the process.

accel-ppp before 1.15.0 contains a heap buffer overflow vulnerability in the tcp, syslog and pgsql log targets that allows unauthenticated remote peers to overflow fixed heap buffers by producing log lines exceeding LOG MAX SIZE. Attackers within client-ip-range can send an L2TP Start-Control-Connection-Request with many string AVPs when verbose logging is enabled to corrupt heap memory and crash the daemon.

يوجد تجاوز لسعة المخزن المؤقت المستند إلى heap في Lz4Decoder.cpp، مما يسمح للأطراف الشبكية غير المصرح لها بالكتابة خارج مخازن heap المؤقتة. يحدث هذا عندما يحدد المهاجم `ring buffer size` صغيرًا يليه `decompressed size` كبير، مما يتيح كتابة ما يصل إلى 65535 بايت متحكم بها، وهو ما قد يؤدي إلى تعطل المجمع.

يوجد تجاوز في عدد صحيح (integer overflow) في ملحق الإخراج Forwarder. يمكن لمصدري IPFIX غير المصرح لهم التسبب في تجاوز سعة مخزن المؤقت للكومة (heap buffer overflow) عن طريق تدوير عدادات طول الرسالة `uint16 t`. يحدث هذا عندما يرسل المهاجمون قوالب كبيرة ومجموعات بيانات تقترب من 65,535 بايت إلى جامع يقوم بالتوجيه عبر TCP، مما قد يؤدي إلى تعطل النظام أو السماح بكتابة 2 بايت في عناوين يتحكم بها المهاجم.

توجد مشكلة في الدالة `Lz4Decoder::read start header()` حيث يمكن للمهاجمين غير المصرح لهم التسبب في استنفاد الذاكرة. من خلال فتح اتصالات TCP وإرسال رؤوس بدء LZ4 بأحجام مخزن مؤقت حلقي غير محدودة، يمكن للمهاجم فرض تخصيصات تصل إلى 4 جيجابايت لكل اتصال، مما يؤدي إلى حجب الخدمة عن المجمع.

تحدث عملية قراءة خارج الحدود في الدالة `handleSMessage()` ضمن ملف short.c. تسمح هذه المشكلة لخادم ضار أو مهاجم يعترض اتصال TCP بنص واضح بالتسبب في تعطل العميل عن طريق إرسال حزم SP S MESSAGE يكون فيها فهرس `m recpt` بقيمة 36 أو أكثر. يؤدي ذلك إلى القراءة خارج نطاق مصفوفات `players[]` و `shipnos` مما يتسبب في حجب الخدمة.

يوجد تجاوز في سعة مخزن المؤقت للكومة (heap buffer overflow) في عميل TCP و TLS المتزامن ضمن دالة `handleReadHeader()` في `TurnTcpSocket` (والتي ترثها `TurnTlsSocket`). يحدث هذا عندما يقوم خادم TURN خبيث أو مهاجم في المسار بإرسال إطارات STUN أو ChannelData بأطوال زائدة تصل إلى 65535 بايت. يسمح هذا الإجراء للمهاجم بكتابة حوالي 57 كيلوبايت بعد `mReadBuffer` الثابت بحجم 8192 بايت، مما يؤدي إلى الكتابة فوق الذاكرة وتعطل العميل. تجاوز سعة مخزن المؤقت للكومة هو حالة يقوم فيها البرنامج بكتابة بيانات في كتلة ذاكرة مخصصة في الكومة أكثر مما يمكنها استيعابه.

يوجد تجاوز لسعة المخزن المؤقت المستند إلى المكدس في الدالة `handleSMessage()` ضمن ملف short.c. تحدث هذه المشكلة عندما يعالج العميل حزم SP S MESSAGE ذات الحجم الزائد، مما يسمح لخادم ضار أو مهاجم في المنتصف (man-in-the-middle) عبر اتصال TCP نصي بتجاوز مخزن مؤقت للمكدس بحجم 100 بايت. من خلال إرسال أجسام رسائل طويلة جدًا أو غير منتهية، يمكن للمهاجم كتابة بايتات يتم التحكم فيها على المكدس، مما يؤدي إلى تعطل العميل.

بالنسبة للمؤشرات القابلة للتحديث، والتي يتم تمكينها افتراضيًا، يضيف برنامج التشغيل أعمدة `ctid` و `oid` مخفية إلى الاستعلام. يقوم برنامج التشغيل بنسخ كل قيمة إلى ذاكرة مؤقتة في المكدس (stack buffer) بحجم 32 بايت باستخدام الطول الذي أرسله الخادم، دون التحقق منه مقابل حجم الذاكرة المؤقتة. يمكن أن تؤدي قيمة تبلغ 32 بايت أو أكثر إلى تجاوز سعة الذاكرة المؤقتة، مما يؤدي إلى الكتابة خارج حدودها. يمكن أن يحدث ذلك بواسطة خادم غير موثوق به بموجب إعدادات SSL الحالية، أو بواسطة مستخدم قاعدة بيانات يمكنه إنشاء عرض (view) يحتوي على عمود باسم `ctid` يقرأه التطبيق باستخدام مؤشر قابل للتحديث. اعتمادًا على عملية البناء، قد يؤدي ذلك إلى إيقاف التطبيق أو الكتابة فوق ذاكرة المكدس المجاورة.