TALOS-2025-2142 || Cisco Talos情报组 - 全面威胁情报

Talos漏洞报告

TALOS-2025-2142

Dell BSAFE Crypto-C GetIndefiniteElementLen 栈溢出漏洞

2025年10月16日

CVE编号 无

概述 Dell BSAFE Crypto-C xxx 的 GetIndefiniteElementLen 功能中存在栈溢出漏洞。特制的ASN.1记录可导致拒绝服务。攻击者可以提供格式错误的ASN.1记录来触发此漏洞。

确认受影响的版本 以下版本经过Talos测试或验证为易受攻击，或已由供应商确认为易受攻击。

Dell BSAFE Crypto-C RSA 6.4

产品链接 BSAFE Crypto-C - https://www.dell.com/support/product-details/en-us/product/bsafe-crypto-c-micro-edition/docs

CVSSv3评分 7.5 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CWE CWE-789 - 不受控制的内存分配

详细信息 Dell BSAFE Crypto-C 是一个为应用程序开发人员提供加密功能和服务的软件库。它是BSAFE安全产品套件的一部分，旨在提供强大的加密和数据保护功能。Crypto-C支持广泛的加密算法，包括对称和非对称加密、哈希和数字签名，确保安全的数据处理和通信。

在解析具有不定长度的元素时，_A_GetIndefiniteElementLen 可以无限制地递归调用自身，没有设置检查来限制递归。格式错误的输入文件可能导致栈溢出，最终造成拒绝服务。

供应商响应 供应商信息：https://www.dell.com/support/kbdoc/en-us/000205186/bsafe-crypto-c-micro-edition-sdk-end-of-life-announcement

时间线 2025年1月24日 - 向供应商披露
2025年10月8日 - 供应商发布补丁
2025年10月16日 - 公开披露

致谢 Jason Crowder

漏洞报告