CVE-2026-0821: quickjs-ng quickjs 中的堆缓冲区溢出漏洞

严重性：中类型：漏洞

CVE: CVE-2026-0821

在 quickjs-ng quickjs 0.11.0 及之前版本中发现一个漏洞。此漏洞影响文件 quickjs.c 中的 js_typed_array_constructor 函数。执行恶意操作可能导致堆缓冲区溢出。攻击可以远程发起。漏洞利用方法已被公开披露并可能被利用。该补丁名为 c5d80831e51e48a83eab16ea867be87f091783c5。应应用补丁以修复此问题。

AI 分析

技术总结

CVE-2026-0821 标识了 quickjs-ng quickjs JavaScript 引擎中的一个堆缓冲区溢出漏洞，具体位于 quickjs.c 文件的 js_typed_array_constructor 函数中。此漏洞影响所有 0.11.0 及之前的版本。该缺陷源于对类型化数组构造的不当处理，允许攻击者操纵输入导致堆溢出。这可能导致任意代码执行、内存损坏或拒绝服务。

该漏洞可远程利用，无需任何身份验证或用户交互，增加了其风险等级。其 CVSS 4.0 向量（AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P）反映了网络攻击向量、低攻击复杂性、无需特权或用户交互，以及对机密性、完整性和可用性的部分影响。

尽管目前尚未发现野外利用，但该漏洞已被公开披露，并且可通过提交记录 c5d80831e51e48a83eab16ea867be87f091783c5 标识的补丁进行修复。quickjs-ng quickjs 通常嵌入在物联网设备、Web 应用程序和其他需要轻量级 JavaScript 执行的软件中，这使得该漏洞与广泛的应用相关。成功利用此漏洞可能允许攻击者远程执行任意代码，从而可能危害受影响系统或导致服务中断。

潜在影响

对于欧洲组织而言，CVE-2026-0821 的影响可能很重大，特别是那些在嵌入式系统、物联网设备或面向 Web 的应用中依赖 quickjs-ng quickjs 的组织。成功利用可能导致未经授权的代码执行、数据泄露或拒绝服务，影响关键系统的机密性、完整性和可用性。

制造业、电信和智能基础设施等越来越多地集成 quickjs 等 JavaScript 引擎以实现自动化和控制的行业尤其脆弱。无需认证的远程可利用性扩大了攻击面，可能使攻击者能够大规模地危害设备或服务。这可能扰乱运营、导致数据丢失或在网络内实现横向移动。鉴于其中等的 CVSS 分数和对安全属性的部分影响，组织应认真对待此漏洞，以防止利用升级为更严重的事件。

缓解建议

为缓解 CVE-2026-0821，组织应立即将官方补丁（由提交记录 c5d80831e51e48a83eab16ea867be87f091783c5 标识）应用到所有受影响的 quickjs-ng quickjs 版本（最高至 0.11.0）。

此外，应对所有使用 quickjs 的系统和应用程序进行全面清点，以确保没有遗留易受攻击的实例。在运行 quickjs 的设备周围实施网络分段和严格的访问控制以限制暴露。

采用运行时应用程序自我保护（RASP） 或基于行为的异常检测来识别表明利用尝试的可疑活动。对于物联网和嵌入式设备，与供应商协调以确保固件更新包含该补丁。

定期监控威胁情报源，以获取针对此漏洞的新兴攻击信息。最后，考虑采用应用程序白名单和沙箱技术来减少潜在利用的影响。

受影响国家

德国、法国、荷兰、英国、意大利、瑞典

来源： CVE Database V5 发布日期： 2026年1月10日星期六