Glibc-s on tuvastatud haavatavus (CVE-2021-38604), mis võimaldab süsteemis protsesside kokkujooksmist algatada, saates spetsiaalselt vormindatud sõnumi POSIX sõnumijärjekordade API kaudu. Jaotustes ei ole probleem üles kerkinud, kuna see on olemas vaid versioonis 2.34, mis avaldati kaks nädalat tagasi.
Probleem on põhjustatud andmete NOTIFY_REMOVED vale töötlemise tõttu mq_notify.c koodis, mis viib NULL pointeri dereferentsini ja protsessi kokkujooksuni. Huvi pakub, et probleem on teise haavatavuse (CVE-2021-33574) parandamise töötluse tulemus, mis eemaldati Glibc 2.34 versioonis. Samal ajal, kui esimene haavatavus oli piisavalt keeruline, et seda kasutada, nõudes teatud tingimuste kombinatsiooni, on teise probleemi kasutamine tunduvalt lihtsam.
Allikas: opennet.ru
