Deus Rex

Grid Community Toolkit before 6.2.20261111 (globus-gss-assist before 12.9) contains a heap out-of-bounds write in globus gss assist token get fd() triggered by SSLv2 record lengths below 3. Remote unauthenticated clients can send a crafted GSI handshake record to services like globus-gatekeeper and myproxy to corrupt heap memory and crash the service.

xschem 2.9.9 through 3.4.7 contains a heap out-of-bounds write vulnerability in read dataset() in src/rawtovcd.c due to an unchecked variable index. Attackers can supply a crafted ngspice .raw file that, when converted with rawtovcd, writes file-controlled heap pointers at chosen signed offsets, corrupting heap memory.

xschem 2.9.9 through 3.4.7 contains an out-of-bounds read vulnerability in read xschem file() in src/save.c that mishandles embedded-symbol records lacking a preceding instance. Attackers can supply a crafted schematic beginning with a "[" record, causing xschem to read and dereference memory below the instance array and crash.

Gwenhywfar 4.99.8beta before 5.14.2 contains a stack-based buffer overflow in GWEN TLV Buffer To DB() in src/parser/tlv.c when decoding BER-TLV tags into a fixed 128-byte buffer. Attackers can supply a record with about 127 or more tag continuation bytes or a truncated multi-byte tag, such as via a malicious chip card's EF SSD file read by libchipcard's ZKA driver, to crash the application.

apitrace 2.0 through 14.0 contains a heap-based buffer overflow in SnappyFile::flushReadCache() that allows attackers to write past m compressedCache via an oversized compressed chunk length. Attackers can supply a crafted .trace file whose 4-byte chunk length exceeds the fixed buffer size, corrupting heap memory when users dump, inspect, or replay it.

Gwenhywfar 5.14.2 contains a heap use-after-free vulnerability in GWEN TLV Buffer To DB() in src/parser/tlv.c, which frees a nested record's GWEN DB node when parsing of its contents fails but continues processing and adds the freed node to the parent instead of returning. Attackers can supply a constructed BER-TLV record with unparseable contents, such as via a malicious chip card read by libchipcard, to corrupt heap memory.

EDFbrowser before 2.16 contains an out-of-bounds write vulnerability in check edf file() that allows attackers to overflow the 256-element annot ch array by supplying excessive annotation signals. Attackers can craft an EDF+ or BDF+ file with more than 256 annotation signals to overwrite edfhdrblock members, including the signal parameter pointer, crashing the application when opened.

libnxml before 0.18.6 contains a stack-based buffer overflow vulnerability in src/nxml parser.c that allows remote attackers to write past a 1024-byte stack buffer via long XML names. Attackers can supply XML or RSS feeds with a 1022-character element, attribute, DOCTYPE or entity name ending in a multi-byte UTF-8 character to crash parsing applications.

eBook-speaker 6.1.0 through 6.2.0 contains a stack buffer overflow vulnerability in get attributes() in src/common.c caused by an unbounded strcpy of an element's name attribute. Attackers can craft an EPUB or DAISY book with a name attribute of 511 or more characters to corrupt the stack and crash the reader when opened.

VRPN through 07.36 contains an out-of-bounds stack write vulnerability in vrpn Endpoint::handle sender message() and handle type message() that allows unauthenticated remote peers to write outside a stack buffer via an unchecked length index. Attackers can connect, complete the version-cookie exchange, and send a SENDER DESCRIPTION or TYPE DESCRIPTION message with an out-of-range or negative index to crash the process.

NEURON (CoreNEURON) through 9.0.2 contains a stack buffer overflow vulnerability that allows attackers to corrupt stack memory by supplying over-long tokens in a crafted model dataset. Attackers can place oversized version or mechanism-name tokens in bbcore mech.dat, globals.dat, or files.dat loaded by nrniv-core to crash the process.

accel-ppp before 1.15.0 contains a heap buffer overflow vulnerability in the tcp, syslog and pgsql log targets that allows unauthenticated remote peers to overflow fixed heap buffers by producing log lines exceeding LOG MAX SIZE. Attackers within client-ip-range can send an L2TP Start-Control-Connection-Request with many string AVPs when verbose logging is enabled to corrupt heap memory and crash the daemon.

Existe um estouro de buffer baseado em heap em Lz4Decoder.cpp, permitindo que pares de rede não autenticados escrevam além dos buffers de heap. Isso ocorre quando um invasor especifica um `ring buffer size` pequeno seguido por um `decompressed size` grande, permitindo a escrita de até 65535 bytes controlados, o que pode causar a falha do coletor.

Existe um estouro de inteiro no plugin de saída Forwarder. Exportadores IPFIX não autenticados podem causar um estouro de buffer de heap ao envolver contadores de comprimento de mensagem `uint16 t`. Isso ocorre quando invasores enviam templates grandes e conjuntos de dados próximos a 65.535 bytes para um coletor que encaminha via TCP, podendo levar ao travamento do sistema ou permitir gravações de 2 bytes em endereços influenciados pelo invasor.

Existe um problema na função `Lz4Decoder::read start header()` onde invasores não autenticados podem causar exaustão de memória. Ao abrir conexões TCP e enviar cabeçalhos de início LZ4 com tamanhos de buffer de anel ilimitados, um invasor pode forçar alocações de até 4 GiB por conexão, resultando em uma negação de serviço para o coletor.

Ocorre uma leitura fora dos limites na função `handleSMessage()` dentro de short.c. Este problema permite que um servidor malicioso ou um invasor que intercepte a conexão TCP em texto simples cause a falha do cliente ao enviar pacotes SP S MESSAGE onde o índice `m recpt` seja 36 ou superior. Isso resulta na leitura além dos arrays `players[]` e `shipnos`, levando a uma negação de serviço.

Um estouro de buffer de heap existe no cliente TCP e TLS síncrono dentro da função `handleReadHeader()` de `TurnTcpSocket` (também herdada por `TurnTlsSocket`). Isso ocorre quando um servidor TURN malicioso ou um invasor no caminho envia frames STUN ou ChannelData com comprimentos excessivos de até 65535 bytes. Essa ação permite que o invasor escreva aproximadamente 57 KB além do `mReadBuffer` fixo de 8192 bytes, resultando em sobrescrita de memória e travamento do cliente. Um estouro de buffer de heap é uma condição em que um programa escreve mais dados em um bloco de memória alocado no heap do que ele pode suportar.

Um estouro de buffer baseado em pilha existe na função `handleSMessage()` em short.c. Este problema ocorre quando o cliente processa pacotes SP S MESSAGE superdimensionados, permitindo que um servidor malicioso ou um atacante man-in-the-middle em uma conexão TCP de texto simples estoure um buffer de pilha de 100 bytes. Ao enviar corpos de mensagem excessivamente longos ou não terminados, um invasor pode gravar bytes controlados na pilha, resultando no travamento do cliente.

Para cursores atualizáveis, que são habilitados por padrão, o driver adiciona colunas ocultas `ctid` e `oid` à consulta. O driver copia cada valor para um buffer de pilha de 32 bytes usando o comprimento enviado pelo servidor, sem verificá-lo em relação ao tamanho do buffer. Um valor de 32 bytes ou mais pode causar um estouro de buffer, escrevendo além do limite. Isso pode ser desencadeado por um servidor não confiável sob as configurações atuais de SSL ou por um usuário do banco de dados capaz de criar uma view com uma coluna chamada `ctid` que a aplicação leia usando um cursor atualizável. Dependendo da compilação, isso pode resultar no aborto da aplicação ou na sobrescrita da memória de pilha adjacente.