Débordement de tampon dans pocketsphinx
Résumé
Vulnérabilité dans pocketsphinx (CVE-2026-54559). Risque d'opérations non autorisées ou de divulgation. Exploitable via sscanf. Atténuation : mise à jour vers 5.1.1 ou plus.
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-54559 a été découverte dans pocketsphinx.
Des attaquants peuvent cibler un point d'entrée spécifique comme sscanf à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour pocketsphinx vers 5.1.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « pocketsphinx CVE-2026-54559 » sur le site de l'éditeur.
CVE-2026-54559 (pocketsphinx) — CWE-119
Surface d'attaque : sscanf / POCKETSPHINX_PATH
Correctif : 5.1.1 — appliquer immédiatement
Contournement : Ensure that the POCKETSPHINX_PATH environment variable is either unset, or set to a directory whose contents are trusted and which cannot be written by untrusted users.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-119) affecte pocketsphinx. Les attaquants atteignent le code vulnérable via sscanf.
Consultez l'avis de l'éditeur pour les versions affectées de pocketsphinx. Surface d'attaque : sscanf / POCKETSPHINX_PATH.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 5.1.1.
Contournement : Ensure that the POCKETSPHINX_PATH environment variable is either unset, or set to a directory whose contents are trusted and which cannot be written by untrusted users.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1
Identify exposureidentify
grep -r 'pocketsphinx' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
pocketsphinxを grep し、稼働しているサービス・バージョンを把握する。 -
2
Apply temporary workaroundmitigate
Ensure that the `POCKETSPHINX_PATH` environment variable is either unset, or set to a directory whose contents are trusted and which cannot be written by untrusted users.パッチが適用されるまでの応急処置として、Ensure that the
POCKETSPHINX_PATHenvironment variable is either unset, or set to a directory whose contents are trusted and which cannot be written by untrusted users. を実施。回避策の副作用 (機能低下) を確認した上で。 -
3
Apply patchpatch
Upgrade pocketsphinx to 5.1.1ステージング環境で 5.1.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4
Post-deployment verificationverify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| pip | pocketsphinx |
< 5.1.1 |
5.1.1 |
| PyPI | pocketsphinx |
< 5.1.1 |
5.1.1 |
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Ubuntu UBUNTU-CVE-2026-54559 pocketsphinx
Description d'origine La description telle que publiée par la source (souvent en anglais).
Impact
The trie language model code introduced in PocketSphinx 5prealpha failed to check various boundary conditions when reading the headers of ARPA, DMP, and binary format language model files. In the case of invalid, corrupted or malicious input files, this could lead to stack and heap buffer overflows.
In addition, the acoustic model loading code (which is over 30 years old...) contains numerous instances of sscanf with an unbounded string field which could also lead to stack overflows in the case of corrupt or malicious inputs.
Because PocketSphinx will search the directory given by the POCKETSPHINX_PATH environment variable for acoustic and language model files, if this directory is writable by untrusted users, an attacker could corrupt an existing file or write a malicious one to this directory in order to trigger the vulnerability.
Patches
The problem has been corrected in PocketSphinx 5.1.1.
There is no patch currently available for users of Pocketsphinx 5prealpha, who are encouraged to migrate as soon as possible to PocketSphinx 5.1.1.
Workarounds
Ensure that the POCKETSPHINX_PATH environment variable is either unset, or set to a directory whose contents are trusted and which cannot be written by untrusted users.
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Références
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- package pypi.org
- web github.com
- web github.com
- web security-advisories@github.com