Nell'utilità split, fornita nel pacchetto GNU coreutils e utilizzata per suddividere file di grandi dimensioni in parti, è stata identificata una vulnerabilità (CVE-2024-0684) che provoca un overflow del buffer durante l'elaborazione di righe lunghe (alcune centinaia di byte) quando si utilizza l'opzione «—line-bytes» («-C») in split. La vulnerabilità è stata individuata durante l'analisi dei crash che si verificano quando si utilizza l'utilità split per suddividere i dati trasmessi tramite codici QR.
La vulnerabilità è causata da un errore commesso nella versione 7.2 di coreutils durante la sostituzione della chiamata alla funzione xrealloc con xpalloc. È già stato accettato un patch correttivo nel codice, ma la nuova versione con la correzione non è ancora stata rilasciata. Per dimostrare l'emergere della vulnerabilità è stato pubblicato un esempio di file che causa un overflow quando si esegue «split -C 1024 ./split_me».
Fonte: opennet.ru
