In de split-tool, geleverd in het GNU coreutils-pakket en gebruikt voor het splitsen van grote bestanden in delen, is een kwetsbaarheid (CVE-2024-0684) ontdekt die leidt tot bufferoverloop bij de verwerking van lange regels (enkele honderden bytes), wanneer de optie 'āline-bytes' ('-C') in split wordt gebruikt. De kwetsbaarheid werd ontdekt tijdens de analyse van fouten die zich voordoen bij het gebruik van de split-tool voor het splitsen van gegevens die via QR-codes worden verzonden.
De kwetsbaarheid wordt veroorzaakt door een fout die is gemaakt in de coreutils-release 7.2 bij het vervangen van de aanroep van de functie xrealloc door xpalloc. Een patch met de oplossing is al geaccepteerd in de codebasis, maar de nieuwe versie met de oplossing is nog niet samengesteld. Ter demonstratie van de kwetsbaarheid is een voorbeeldbestand gepubliceerd dat bufferoverloop veroorzaakt bij het uitvoeren van 'split -C 1024 ./split_me'.
Bron: opennet.ru
