Nell'utilità split, fornita nel pacchetto GNU coreutils e utilizzata per suddividere grandi file in parti, è stata trovata una vulnerabilità (CVE-2024-0684) che provoca un buffer overflow durante l'elaborazione di stringhe lunghe (alcuni centinaia di byte), nel caso venga utilizzata nell'opzione "—line-bytes" ("-C"). La vulnerabilità è stata identificata durante l'analisi dei crash che si verificano quando si utilizza l'utilità split per dividere i dati trasmessi tramite codici QR.
La vulnerabilità è causata da un errore commesso nella versione 7.2 delle coreutils quando si è proceduto a sostituire la chiamata alla funzione xrealloc con xpalloc. Una patch correttiva è già stata accettata nel codice sorgente, ma la nuova versione corretta non è ancora stata rilasciata. È stato pubblicato un file di esempio per dimostrare la vulnerabilità che provoca un buffer overflow quando si esegue il comando "split -C 1024 ./split_me".
Fonte: opennet.ru
