EXPLOIT PÚBLICODetectada 04 NOV · 17:02

CVE-2023-36308 Pánico por índice entero fuera de rango en disintegration Imaging

La versión 1.6.2 de disintegration Imaging permite a un atacante provocar un pánico mediante un archivo TIFF manipulado enviado a la función scan de scanner.go, debido a un índice entero fuera de rango durante una llamada a Grayscale. No está claro si existen casos de uso comunes en los que este pánico tenga consecuencias de seguridad.

—S/D

CVSS 3.1 · PRELIMINAR

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 32
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Qué hacer

Verificá si usás el producto afectado.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

klphp/imaging Maintained fork of disintegration/imaging: no TIFF/BMP decoders (CVE-2023-36308 gone), GIF palette panic fixed, WebP decode. Pure Go.04 NOV · 17:02

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Descripción original

disintegration Imaging 1.6.2 allows attackers to cause a panic (because of an integer index out of range during a Grayscale call) via a crafted TIFF file to the scan function of scanner.go. NOTE: it is unclear whether there are common use cases in which this panic could have any security consequence

Referencias (4)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.