CVE-2022-37434
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
17.9%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
Security-Teams sollten umgehend prüfen, ob ihre Anwendungen zlib bis Version 1.2.12 verwenden und dabei die Funktion inflateGetHeader aufrufen. Eine Priorisierung der Aktualisierung auf eine gepatchte zlib-Version ist dringend empfohlen, um das Risiko einer Ausnutzung zu minimieren. Falls ein Update nicht sofort möglich ist, sollten alternative Mitigationen evaluiert werden, sofern anwendbar.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
zlib through 1.2.12 has a heap-based buffer over-read or buffer overflow in inflate in inflate.c via a large gzip header extra field. NOTE: only applications that call inflateGetHeader are affected. Some common applications bundle the affected zlib source code but may be unable to call inflateGetHeader (e.g., see the nodejs/node reference).
Referenzen
- http://seclists.org/fulldisclosure/2022/Oct/37
- http://seclists.org/fulldisclosure/2022/Oct/38
- http://seclists.org/fulldisclosure/2022/Oct/41
- http://seclists.org/fulldisclosure/2022/Oct/42
- http://www.openwall.com/lists/oss-security/2022/08/05/2
- http://www.openwall.com/lists/oss-security/2022/08/09/1
- https://github.com/curl/curl/issues/9271
- https://github.com/ivd38/zlib_overflow
- https://github.com/madler/zlib/blob/21767c654d31d2dccdde4330529775c6c5fd5389/zli...
- https://github.com/madler/zlib/commit/1eb7682f845ac9e9bf9ae35bbfb3bad5dacbd91d