Ve split nástroji dodávaném v balíčku GNU coreutils, který se používá k rozdělení velkých souborů na části, byla zjištěna zranitelnost (CVE-2024-0684), vedoucí k přetečení vyrovnávací paměti při zpracování dlouhých řetězců (několik set bytů), pokud je použita v split volba „—line-bytes“ („-C“). Zranitelnost byla odhalena během analýzy selhání, která se vyskytují při používání nástroje split k rozdělení dat přenášených pomocí QR kódů.
Zranitelnost je způsobena chybou, která se vyskytla ve verzi coreutils 7.2 při nahrazování volání funkce xrealloc za xpalloc. Oprava již byla přijata do kódu, ale nová verze s opravou zatím nebyla vydaná. Pro demonstraci zranitelnosti byl zveřejněn příklad souboru, který způsobuje přetečení při spuštění „split -C 1024 ./split_me“.
Zdroj: opennet.ru
