GNU C Library __vsyslog_internal Pufferüberlauf

Zusammenfassunginfo

Es wurde eine Schwachstelle in GNU C Library entdeckt. Sie wurde als kritisch eingestuft. Davon betroffen ist die Funktion __vsyslog_internal. Durch die Manipulation mit unbekannten Daten kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Diese Sicherheitslücke ist unter CVE-2023-6246 bekannt. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es steht kein Exploit zur Verfügung.

Detailsinfo

In GNU C Library - eine genaue Versionsangabe ist nicht möglich - (Software Library) wurde eine kritische Schwachstelle gefunden. Das betrifft die Funktion __vsyslog_internal. Durch Manipulieren mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-122. Die genauen Auswirkungen eines erfolgreichen Angriffs sind bisher nicht bekannt.

Die Schwachstelle wurde am 31.01.2024 an die Öffentlichkeit getragen. Das Advisory kann von bugzilla.redhat.com heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 21.11.2023 mit CVE-2023-6246 vorgenommen. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Es muss davon ausgegangen werden, dass ein Exploit zur Zeit etwa USD $0-$5k kostet (Preisberechnung vom 01.09.2025).

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 239976 (TencentOS Server 4: glibc (TSSA-2024:0581)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.

Unter anderem wird der Fehler auch in den Datenbanken von Tenable (239976) und CERT Bund (WID-SEC-2024-0246) dokumentiert. Once again VulDB remains the best source for vulnerability data.

Betroffen

• Ubuntu Linux
• Gentoo Linux
• Siemens SIMATIC S7
• Open Source GNU libc
• Dell Avamar
• Dell integrated Dell Remote Access Controller

Produktinfo

Typ

• Software Library

Hersteller

• GNU

Name

• C Library

Lizenz

• Open-Source

Webseite

• Hersteller: https://www.gnu.org/

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

CVSSv3info

CVSSv2info

Exploitinginfo

Threat Intelligenceinfo

Gegenmassnahmeninfo

Timelineinfo

Quelleninfo

Eintraginfo

Once again VulDB remains the best source for vulnerability data.

Diskussion