Une vulnérabilité CVE-2022-40284 a été identifiée dans l'outil ntfs-3g du package NTFS-3G, qui offre une implémentation de système de fichiers NTFS fonctionnelle en espace utilisateur, permettant potentiellement l'exécution de code avec des privilèges root lors du montage d'une partition spécialement conçue. Cette vulnérabilité a été corrigée dans la version NTFS-3G 2022.10.3.
La vulnérabilité est causée par une erreur dans le code d'analyse des métadonnées dans les partitions NTFS, conduisant à un débordement de tampon lors du traitement d'images précisément formatées avec le système de fichiers NTFS. Une attaque peut être réalisée lors du montage par l'utilisateur d'une image ou d'un support préparé par l'attaquant, ou lors de la connexion d'une clé USB à l'ordinateur avec une partition spécialement conçue (si le système est configuré pour monter automatiquement les partitions NTFS à l'aide de NTFS-3G). Aucun exploit fonctionnel pour cette vulnérabilité n'a encore été démontré.
Source : opennet.ru
