En sårbarhet (CVE-2021-38604) har identifierats i Glibc, som gör det möjligt att initiera krasch av processer i systemet genom att skicka ett specialdesignat meddelande via POSIX message queues API. Problemet har ännu inte dykt upp i distributioner, eftersom det bara finns i version 2.34, publicerad för två veckor sedan.
Problemet orsakas av felaktig hantering av NOTIFY_REMOVED-data i mq_notify.c-koden, vilket leder till NULL-pekarereferens och processkrasch. Intressant nog är problemet en konsekvens av ett fel i att fixa en annan sårbarhet (CVE-2021-33574), fixad i Glibc 2.34-versionen. Dessutom, om den första sårbarheten var ganska svår att utnyttja och krävde en kombination av vissa omständigheter, är det mycket lättare att utföra en attack med det andra problemet.
Källa: opennet.ru