wasm3未受控内存分配漏洞 · CVE-2024-27529
漏洞详情
CVE ID: CVE-2024-27529 GHSA ID: GHSA-fmq6-4w57-2w3v 严重性: 中等 (CVSS 评分: 6.9)
受影响版本
- Swift包 (github.com/shareup/wasm-interpreter-apple): <= 0.8.1
- Python包 (pywasm3): <= 0.5.0
- Rust包 (wasm3): <= 0.3.1
漏洞描述
在提交版本为139076a的wasm3项目中，Read_utf8函数存在内存泄漏问题。此漏洞可能允许攻击者引发未受控的资源消耗，最终导致可用资源耗尽。
相关链接
技术细节
漏洞类型 (CWE)
-
CWE-125: 越界读取
- 产品读取数据超出了预期缓冲区的末端或开始之前。
-
CWE-400: 未受控的资源消耗
- 产品未能正确控制有限资源的分配和维护，使得攻击者能够影响消耗的资源量，最终导致可用资源耗尽。
CVSS v4.0 指标
基础指标:
- 攻击向量 (AV): 网络 (Network)
- 攻击复杂度 (AC): 低 (Low)
- 攻击前提 (AT): 存在 (Present)
- 所需权限 (PR): 无 (None)
- 用户交互 (UI): 无 (None)
受影响的系统影响:
- 机密性 (VC): 无 (None)
- 完整性 (VI): 无 (None)
- 可用性 (VA): 高 (High)
后续系统影响:
- 机密性 (SC): 无 (None)
- 完整性 (SI): 无 (None)
- 可用性 (SA): 无 (None)
可利用性: 已验证存在 (Exploitation Proven, E:P)
完整CVSS向量: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:P
时间线
- NVD发布日期: 2024年11月8日
- GitHub公告数据库发布日期: 2024年11月9日
- GitHub审核日期: 2024年11月12日
- 最后更新日期: 2024年11月18日
额外信息
EPSS评分: 0.045% (14百分位数)
- 该评分估计了此漏洞在未来30天内被利用的概率。数据由FIRST提供。
补丁状态: 当前受影响版本暂无官方补丁版本。建议关注上游项目更新。
注意: 此漏洞已被GitHub安全团队审核并收录至GitHub公告数据库。