CVE-2021-29937

Versões do crate telemetry até a 0.1.2

Versões do crate telemetry até 17/02/2021

Foi descoberta uma falha no crate telemetry em que ocorre uma perda de memória não inicializada se uma chamada value.clone() entrar em pânico dentro de misc::vec with size(). A função misc::vec with size cria um vetor com o size fornecido e imediatamente chama vec.set len(size) nele, preenchendo-o inicialmente com memória não inicializada. Em seguida, ela insere elementos usando vec[i] = value.clone(). Se a chamada value.clone() entrar em pânico, os itens não inicializados no vetor serão descartados, levando a um comportamento indefinido.

Para versões até a 0.1.2, considere desativar a função misc::vec with size até que um patch esteja disponível.

Para versões até 17/02/2021, restrinja o acesso à função misc::vec with size para minimizar o risco de exploração.

Como solução temporária, evite usar a chamada value.clone() dentro da função misc::vec with size até que o problema seja resolvido.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.