Albert Gierlach

Existe um problema onde o comprimento do buffer incremental é corrompido ao cortar além do seu fim na função `incr skip()` após um número de nível superior. O analisador incremental trata sequências de dígitos, sinais, pontos e marcadores de expoente como um único número, enquanto o decodificador para ao final de um número válido, deixando um deslocamento de bytes não decodificados. Quando o buffer é esvaziado sem limpar esses bytes, uma chamada subsequente a `incr parse()` sem nova entrada os lê novamente e move o deslocamento para além do fim do buffer. Consequentemente, `incr skip()` remove esses bytes, fazendo com que o comprimento do buffer envolva. Um invasor que envie a entrada "1-2" para um consumidor `incr parse` pode causar a saída do processo através de um caminho de falta de memória não capturável no Perl.

Existe um problema na função `incr parse()` onde ocorre uma gravação de um byte fora dos limites do heap ao anexar um chunk de um byte. Isso acontece porque o buffer incremental cresce para uma vez e meia o comprimento necessário, sem reservar espaço para o caractere NUL de terminação. Em casos que envolvem um buffer vazio e um chunk de um byte, o caractere NUL é gravado um byte além da alocação se nenhuma realocação ocorrer. Um peer transmitindo dados para um consumidor `incr parse` pode disparar isso controlando como a entrada é dividida em leituras.

JSON::XS versions from 3.0 before 4.05 for Perl read freed stack memory when a FREEZE result's serialisation grows the Perl stack under allow tags in encode rv. With allow tags, an object's FREEZE method is called in list context and each returned value is encoded through a saved Perl stack pointer. When encoding a returned value calls back into Perl, through TO JSON under convert blessed or another FREEZE, and that callback grows the stack, the stack is reallocated while the saved pointer still refers to the freed block. Encoding such objects reads freed memory, and encode can return undef without an error.