В утилитата ntfs-3g от комплекта NTFS-3G, която предлага работа в пространството на потребителя за файловата система NTFS, е открита уязвимост CVE-2022-40284, която потенциално позволява изпълнение на код с права root в системата при монтиране на специално подготвен дял. Уязвимостта е отстранена в версия NTFS-3G 2022.10.3.
Уязвимостта е причинена от грешка в кода за разбиране на метаданни в NTFS-дяловете, която води до препълване на буфера при обработка на определено подготвени образи с файловата система NTFS. Атаката може да бъде извършена при монтиране на образ или устройство, подготвено от атакуващия, или при свързване на компютъра с USB флаш устройство със специално оформен дял (ако системата е конфигурирана за автоматично монтиране на NTFS-дялове с помощта на NTFS-3G). Работещи експлоити за посочената уязвимост все още не са демонстрирани.
Източник: opennet.ru
