Atualização de segurança do Mageia para o kit p11, aviso Mageia 2021-0041

 

Confira !!

Vários estouros de inteiro foram descobertos nas alocações de array na biblioteca do kit p11 e no comando da lista do kit p11, onde as verificações de estouro estão ausentes antes de chamar realloc ou calloc (CVE-2020-29361). Uma sobre-leitura de buffer baseada em heap foi descoberta no protocolo RPC usado por

MGASA-2021-0041 - Pacotes do kit p11 atualizados corrigem vulnerabilidades de segurança

Data de publicação: 17 de janeiro de 2021

URL: https://advisories.mageia.org/MGASA-2021-0041.html

Tipo: segurança

Lançamentos afetados da Mageia: 7

CVE: CVE-2020-29361,

     CVE-2020-29362,

     CVE-2020-29363

Vários estouros de inteiros foram descobertos nas alocações de matriz em

a biblioteca p11-kit e o comando p11-kit list, onde as verificações de estouro são

ausente antes de chamar realloc ou calloc (CVE-2020-29361).

Uma sobre-leitura de buffer baseada em heap foi descoberta no protocolo RPC usado por

os comandos remotos / servidor do kit p11 e a biblioteca cliente. Quando o controle remoto

entidade fornece uma matriz de bytes por meio de uma chamada de função PKCS # 11 serializada, o

entidade receptora pode permitir a leitura de até 4 bytes de memória após o

alocação de heap (CVE-2020-29362).

Um estouro de buffer baseado em heap foi descoberto no protocolo RPC usado por

Comandos remotos / servidor do kit p11 e a biblioteca cliente. Quando a entidade remota

fornece uma matriz de bytes serializada em um CK_ATTRIBUTE, a entidade receptora pode

não alocar comprimento suficiente para o buffer armazenar o valor desserializado

(CVE-2020-29363).

Referências:

- https://bugs.mageia.org/show_bug.cgi?id=27853

- https://github.com/p11-glue/p11-kit/security/advisories/GHSA-q4r3-hm6m-mvc2

- https://github.com/p11-glue/p11-kit/security/advisories/GHSA-5wpq-43j2-6qwc

- https://github.com/p11-glue/p11-kit/security/advisories/GHSA-5j67-fw89-fp6x

- https://github.com/p11-glue/p11-kit/releases/tag/0.23.22

- https://lists.fedoraproject.org/archives/list/ package-announce@lists.fedoraproject.org / thread / 4D5CLBYQ6GQU5KRRIBTSC4AOKNPX2JPE /

- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29361

- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29362

- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29363

SRPMS:

- 7 / core / p11-kit-0.23.22-1.mga7

Fonte

Até a próxima !!