uTox で任意のファイルを書き込まれ遠隔からコードを実行される
Summary
uTox 0.18.1 までには、パストラバーサルの脆弱性があり、Tox の友人が自動受信を有効にした利用者に任意のファイルを書き込めます。シェルの起動ファイルを上書きされたり、細工された .ftinfo ファイルを読み込まされたりして、コードを実行される恐れがあります。最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
uTox 0.18.1 までには、パストラバーサルの脆弱性があり、Tox の友人が自動受信を有効にした利用者に任意のファイルを書き込めます。シェルの起動ファイルを上書きされたり、細工された .ftinfo ファイルを読み込まされたりして、コードを実行される恐れがあります。最新の情報を確認してください。
Original description The description as published by the source.
uTox through 0.18.1 contains a path traversal vulnerability that allows Tox friends to write arbitrary files by sending absolute or ../ file names to victims with auto-accept enabled. Attackers can overwrite shell startup files or plant crafted .ftinfo resume records that ft_find_resumeable() loads, abusing FILE pointers to write /proc/self/mem and execute code.
Source: NIST National Vulnerability Database NVD GitHub Advisory