В утилитата ntfs-3g от комплекта NTFS-3G, предлагающа работеща в пространството на потребителя реализация на файловата система NTFS, е открита уязвимост CVE-2022-40284, която потенциално позволява изпълнението на код с права root в системата при монтиране на специално оформен дял. Уязвимостта е отстранена в версия NTFS-3G 2022.10.3.
Уязвимостта е причинена от грешка в кода за обработка на метаданни в NTFS-дяловете, което води до преливане на буфера при обработка на определени по начин образи с файловата система NTFS. Атаката може да бъде извършена при монтиране от потребителя на образ или устройство, подготвено от атакуващия, или при свързване на USB флаш устройство с специално оформен дял (ако системата е настроена за автоматично монтиране на NTFS-дялове с помощта на NTFS-3G). Работещи експлойти за указаната уязвимост все още не са демонстрирани.
Източник: opennet.ru
