Vulnerabilidad en htslib de samtools (CVE-2026-31963)
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-122
Desbordamiento de búfer basado en memoria dinámica (Heap)
Fecha de publicación:
18/03/2026
Última modificación:
19/03/2026
Descripción
HTSlib es una biblioteca para leer y escribir formatos de archivo de bioinformática. CRAM es un formato comprimido que almacena datos de alineación de secuencias de ADN. Como un método para eliminar datos redundantes, CRAM utiliza compresión basada en referencias de modo que, en lugar de almacenar la secuencia completa para cada registro de alineación, almacena una ubicación en una secuencia de referencia externa junto con una lista de diferencias con la referencia en esa ubicación como una secuencia de 'features'. Al decodificar estas 'features', un error por uno en una prueba para 'features' de CRAM que aparecen más allá del alcance de la secuencia de registro de CRAM podría resultar en una escritura inválida de un byte controlado por el atacante más allá del final de un búfer de pila. Explotar este error causa un desbordamiento de búfer de pila. Si un usuario abre un archivo diseñado para explotar este problema, podría provocar el bloqueo del programa o la sobrescritura de datos y estructuras de pila de formas no esperadas por el programa. Podría ser posible usar esto para obtener ejecución de código arbitrario. Las versiones 1.23.1, 1.22.2 y 1.21.1 incluyen correcciones para este problema. No hay solución alternativa para este problema.
Impacto
Puntuación base 4.0
8.80
Gravedad 4.0
ALTA
Puntuación base 3.x
8.10
Gravedad 3.x
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:htslib:htslib:*:*:*:*:*:*:*:* | 1.21.1 (excluyendo) | |
| cpe:2.3:a:htslib:htslib:*:*:*:*:*:*:*:* | 1.22 (incluyendo) | 1.22.2 (excluyendo) |
| cpe:2.3:a:htslib:htslib:1.23:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página