Na ferramenta split, fornecida no pacote GNU coreutils e utilizada para dividir arquivos grandes em partes, foi identificada uma vulnerabilidade (CVE-2024-0684) que leva a um estouro de buffer ao processar linhas longas (vários centenas de bytes), ao usar a opção «—line-bytes» («-C»). A vulnerabilidade foi descoberta durante a análise de falhas ao utilizar a ferramenta split para dividir dados transmitidos por meio de QR codes.
A vulnerabilidade foi causada por um erro na versão 7.2 do coreutils ao substituir a chamada da função xrealloc por xpalloc. Um patch já foi aceito na base de código, mas a nova versão com a correção ainda não foi lançada. Para demonstrar a manifestação da vulnerabilidade, um exemplo de arquivo que causa o estouro ao executar «split -C 1024 ./split_me» foi publicado.
Fonte: opennet.ru
