GHSA-9v8h-qqgm-4m35
Brotli: escrita fora dos limites no decodificador Brotli ("Node2Shell") também afeta o pacote Brotli do PyPI
Uma vulnerabilidade de transbordamento de buffer no decodificador Brotli (c/dec/decode.c) no Google Brotli versões 1.0.3 até 1.2.0 em todas as plataformas permite que um atacante remoto não autenticado corrompa a memória do estado do decodificador adjacente, divulgue o conteúdo da memória sensível, cause uma negação de serviço ou, potencialmente, execute código arbitrário usando um fluxo Brotli comprimido criado de forma maliciosa.
Traduzido automaticamente do inglês.
- brotli (PyPI)
- Crítica
- CVSS 9.2
- Versão corrigida informada
O que fazer
Versão corrigida informada
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| brotli (PyPI) | >= 1.0.3, < 1.2.1 | 1.2.1 | GHSA-9v8h-qqgm-4m35 |
| brotlicffi (PyPI) | >= 1.0.3, < 1.2.1.0 | 1.2.1.0 | GHSA-9v8h-qqgm-4m35 |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.2 (v4.0, pontuado por GitHub)
Linha do tempo
- O GitHub publicou o alerta GHSA-9v8h-qqgm-4m35 (crítica). Corrigido em 1.2.1, 1.2.1.0.