Vulnerabilidad en ClamAV AntiVirus (CVE-2017-12377)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-125 Lectura fuera de límites

Fecha de publicación:

26/01/2018

Última modificación:

03/10/2019

Descripción

ClamAV AntiVirus, en versiones 0.99.2 y anteriores, contiene una vulnerabilidad que podría permitir que un atacante remoto sin autenticar provoque una denegación de servicio (DoS) o ejecute código arbitrario en un sistema afectado. La vulnerabilidad se debe a errores en los mecanismos de comprobación de validación de entradas en archivos mew packet enviados a un dispositivo afectado. Un exploit con éxito podría provocar una sobrelectura de búfer basada en memoria dinámica (heap) en mew.c cuando ClamAV escanea el archivo malicioso, permitiendo que el atacante cree una condición de DoS o ejecute código arbitrario en el dispositivo afectado.

Impacto

Vector 3.x

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.80

Gravedad 3.x

CRÍTICA

Vector 2.0

AV:N/AC:L/Au:N/C:C/I:C/A:C CVSS v2.0 Severidad y Métricas:

Puntuación base: 10.00 ALTA
Vector: AV:N/AC:L/Au:N/C:C/I:C/A:C

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Completo
Impacto a la integridad (I): Completo
Impacto a la disponibilidad (A): Completo