CVE-2026-24738 in gmrtd
Riassunto
di VulDB • 22/06/2026
gmrtd è una libreria Go per la lettura di Machine Readable Travel Documents (MRTD). Prima della versione 0.17.2, ReadFile accetta TLV con lunghezze che possono variare fino a 4GB, il che può causare un consumo di risorse non vincolato sia in termini di memoria che di cicli CPU. ReadFile può consumare un TLV esteso con lunghezze ben al di fuori di quanto sarebbe disponibile negli IC. Può accettare qualcosa fino a 4GB, il che richiederebbe troppe iterazioni in chunk da 256 byte, e tenterebbe anche di allocare memoria che potrebbe non essere disponibile in ambienti vincolati come i telefoni. Se un'API invia dati a ReadFile, si applica lo stesso problema. La lettura in chunk molto piccoli blocca anche il goroutine nell'accettazione dei dati per un numero molto elevato di iterazioni. I progetti che utilizzano la libreria gmrtd per leggere file da NFC possono subire rallentamenti estremi o un consumo elevato di memoria. Un NFC malevolo può semplicemente comportarsi come il trasceiver simulato descritto sopra e, inviando byte fittizi come chunk da leggere, può rendere il thread di ricezione non responsivo e riempire la memoria sul sistema host. La versione 0.17.2 risolve il problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.