CVE-2026-53910 in diffutils
요약
\~에 의해 VulDB • 2026. 07. 22.
GNU diffutils의 diff3 도구는 라인 매핑 계산에서 여러 부호 있는 정수 오버플로(heap-based buffer overflow)로 인해 취약합니다. 잘못된 산술 연산으로 인한 라인 범위 매핑 오류는 메모리 할당 및 루프 경계 값에 대해 손상된 값을 사용하게 만듭니다.
조작된 diff 출력을 처리할 때 이러한 오버플로는 애플리케이션이 불충분한 메모리를 할당하도록 유도하고, 이후 내부 처리 과정에서 바깥 영역(out-of-bounds) 쓰기 작업을 수행하게 될 수 있습니다.
diff3에서 사용하는 diff 프로그램의 출력을 제어할 수 있는 공격자(예: --diff-program 옵션을 통해 악성 스크립트를 가리키게 함)는 바깥 영역 쓰기를 트리거하여 충돌(crash)을 유발하거나, 환경에 따라 원격 코드 실행(RCE)으로 이어질 가능성이 있습니다.
이 문제는 커밋 9ff04d5b84743e331e80b589335a52c5480d1815에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.