CVE-2021-26305

Versões do crate cdr anteriores à 0.2.4

Foi descoberta uma falha no Deserializer::read vec do crate cdr para Rust. Uma implementação Read fornecida pelo usuário pode obter acesso ao conteúdo antigo da memória heap recém-alocada, violando a segurança. A função Deserializer::read vec() criou um buffer não inicializado e o passou para uma implementação Read fornecida pelo usuário, o que é definido como comportamento indefinido em Rust.

Para versões anteriores à 0.2.4, atualize para a versão 0.2.4 ou posterior para resolver o problema. Como solução temporária, considere evitar o uso de Deserializer::read vec() até que um patch esteja disponível. Restrinja o acesso à implementação Read para minimizar o risco de exploração.