Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en UNIX Vim (CVE-2024-43374)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-416 Utilización después de liberación
Fecha de publicación:
16/08/2024
Última modificación:
25/08/2025

Descripción

El editor UNIX Vim anterior a la versión 9.1.0678 tiene un error de use-after-free en el manejo de la lista de argumentos. Al agregar un nuevo archivo a la lista de argumentos, esto activa los comandos automáticos `Buf*`. Si en dicho autocomando se cierra el búfer que se acaba de abrir (incluida la ventana donde se muestra), esto hace que se libere la estructura de la ventana que contiene una referencia a la lista de argumentos que actualmente estamos modificando. Una vez que se completan los comandos automáticos, las referencias a la ventana y la lista de argumentos ya no son válidas y, como tales, provocan un uuse-after-free. El impacto es bajo ya que el usuario debe agregar intencionalmente algunos comandos automáticos inusuales que borran un búfer durante la creación (ya sea manualmente o obteniendo un complemento malicioso), pero Vim fallará. El problema se solucionó a partir del parche Vim v9.1.0678.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:vim:vim:*:*:*:*:*:*:*:* 9.1.0678 (excluyendo)
cpe:2.3:o:netapp:bootstrap_os:-:*:*:*:*:*:*:*
cpe:2.3:h:netapp:hci_compute_node:-:*:*:*:*:*:*:*