PT-2020-18893

CVE-2020-6018

·

Publicado

2020-12-02

·

Atualizado

2022-04-12

Descrição por

CVSS 3.1
9.8
Crítica
MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Valve's Game Networking Sockets, versões anteriores à v1.2.0
Descrição
O problema decorre do tratamento inadequado de mensagens criptografadas longas na função AES GCM DecryptContext::Decrypt() quando compilada usando a biblioteca libsodium. Isso leva a um estouro de buffer baseado em pilha, resultando em corrupção de memória e potencialmente permitindo a execução remota de código.
Recomendações
Para versões anteriores à v1.2.0, atualize para a versão v1.2.0 ou posterior para resolver o problema. Como solução temporária, considere desativar a função AES GCM DecryptContext::Decrypt() até que um patch esteja disponível. Restrinja o acesso a áreas sensíveis do programa para minimizar o risco de exploração.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-120: Buffer Copy without Checking Size of Input (\'Classic Buffer Overflow\')
CWE-787: Out-of-bounds Write
Identificadores relacionados
CVE-2020-6018
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com