Vulnerabilidad en comprobación de los parámetros en dpdk (CVE-2020-14377)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-125
Lectura fuera de límites
Fecha de publicación:
30/09/2020
Última modificación:
05/01/2021
Descripción
Se encontró un fallo en dpdk en versiones anteriores a 18.11.10 y anteriores a 19.11.5. Una falta total de comprobación de los parámetros controlados por el atacante puede conllevar a una lectura excesiva del búfer. Los resultados de la lectura excesiva se vuelven a escribir en la memoria de la máquina virtual invitada. Un atacante puede utilizar esta vulnerabilidad en una máquina virtual para leer cantidades significativas de memoria del host. La mayor amenaza de esta vulnerabilidad es la confidencialidad de los datos y la disponibilidad del sistema
Impacto
Puntuación base 3.x
7.10
Gravedad 3.x
ALTA
Puntuación base 2.0
3.60
Gravedad 2.0
BAJA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:dpdk:data_plane_development_kit:*:*:*:*:*:*:*:* | 18.02.1 (incluyendo) | 18.11.10 (excluyendo) |
| cpe:2.3:a:dpdk:data_plane_development_kit:*:*:*:*:*:*:*:* | 19.02 (incluyendo) | 19.11.5 (excluyendo) |
| cpe:2.3:o:canonical:ubuntu_linux:20.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:o:opensuse:leap:15.1:*:*:*:*:*:*:* | ||
| cpe:2.3:o:opensuse:leap:15.2:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00004.html
- http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00006.html
- http://www.openwall.com/lists/oss-security/2021/01/04/1
- http://www.openwall.com/lists/oss-security/2021/01/04/2
- http://www.openwall.com/lists/oss-security/2021/01/04/5
- https://bugzilla.redhat.com/show_bug.cgi?id=1879472
- https://usn.ubuntu.com/4550-1/
- https://www.openwall.com/lists/oss-security/2020/09/28/3