Botanに脆弱性、FFI経由でメモリ破壊の恐れ、修正版あり
Summary
暗号ライブラリBotanのC APIに、メモリ破壊につながる脆弱性が見つかりました。ただし該当するのは、外部から受け取ったアルゴリズム名をそのままC APIに渡すアプリだけで、範囲は限られます。自社製品や社内ツールがBotanを組み込んでいるかを確認し、該当すれば修正版へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
暗号ライブラリBotanのC APIに、メモリ破壊につながる脆弱性が見つかりました。ただし該当するのは、外部から受け取ったアルゴリズム名をそのままC APIに渡すアプリだけで、範囲は限られます。自社製品や社内ツールがBotanを組み込んでいるかを確認し、該当すれば修正版へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| randombit | botan | — | — |
Original description The description as published by the source.
Botan is a C++ cryptography library. From 2.1.0 until 3.13.0, the Botan C API function botan_block_cipher_block_size converted a size_t block size to int without a bounds check. In an application that accepts external algorithm parameter strings and uses the FFI raw ECB mode, an attacker can select the variable-block-size Lion cipher so that the reported size is truncated, the caller allocates insufficient memory, and later block processing causes memory corruption. The C++ API and normally used C API modes such as CBC and CTR are unaffected. This issue is fixed in version 3.13.0.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web github.com
- web github.com
- web github.com