NewStart CGSL MAIN 6.02：cryptsetup 弱點 (NS-SA-2021-0087)

high Nessus Plugin ID 147249

語系：

概要

遠端機器受到一個弱點的影響。

說明

執行 MAIN 6.02 版的遠端 NewStart CGSL 主機上安裝的 cryptsetup 套件受到一個弱點影響：

- 在上游版本 cryptsetup-2.2.0 中發現一個弱點，其中，LUKS2 格式驗證程式碼中存在一個錯誤，該錯誤可在每個表示本身為 LUKS2 容器的裝置/影像上有效叫用。
此錯誤位於函式 hdr_validate_segments(struct crypt_device *cd, json_object *hdr_jobj) 中的檔案「lib/luks2/luks2_json_metadata.c」的區段驗證程式碼中，該處的程式碼未檢查用於間隔陣列的記憶體配置是否可能溢位 (請參閱陳述式 intervals = malloc(first_backup * sizeof(*intervals));)。由於該錯誤的影響，程式庫可能會*受騙*，誤認為此類配置是成功的，但所需的記憶體會比最初預期的少很多。稍後，該程式庫可能會從攻擊者建構的影像中讀取資料，並在已配置的記憶體之外實際寫入這些資料。(CVE-2020-14382)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。