CVE-2023-25564 in GSS-NTLMSSP

الملخص

بحسب VulDB • 15/06/2026

GSS-NTLMSSP هو ملحق mechglue لمكتبة GSSAPI ينفذ مصادقة NTLM. قبل الإصدار 1.2.0، يمكن حدوث تلف في الذاكرة عند فك تشفير سلاسل UTF16. لم يتم تهيئة المتغير `outlen` مما قد يؤدي إلى كتابة صفر في مكان عشوائي بالذاكرة إذا فشلت الدالة `ntlm_str_convert()`، وهو ما يترك `outlen` غير مهيأ. يمكن أن يؤدي ذلك إلى حجب الخدمة (Denial of Service) إذا استهدفت الكتابة ذاكرة غير مُحددة أو أفسدت بايتًًا بشكل عشوائي في مساحة ذاكرة التطبيق. يمكن لهذا الثغرة أن تسبب كتابة خارج النطاق (Out-of-bounds write)، مما يؤدي إلى تلف الذاكرة. يمكن تفعيل هذه الثغرة عبر نقطة الدخول الرئيسية `gss_accept_sec_context`. تم إصلاح هذه المشكلة في الإصدار 1.2.0.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: GitHub, Inc.
• حجز: 07/02/2023
• إفشاء: 14/02/2023
• الاعتدال: تمت الموافقة
• إدخال: VDB-221047
• CPE: جاهز
• CWE: CWE-787 (مؤكد)
• CVSS: 8.2 (NVD)
• EPSS: 0.01942
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-25564
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-25564
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-25564/