Vulnerabilidad en buffa de anthropics (CVE-2026-55406)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-200
Revelación de información
Fecha de publicación:
16/07/2026
Última modificación:
24/10/2026
Descripción
Buffa es una implementación puramente en Rust de Protocol Buffers con soporte de primera clase para ediciones de protobuf. Antes de la versión 0.7.0, un error de solidez en el tipo OwnedView[V] permitía que código Rust seguro desencadenara un uso después de liberación: el constructor OwnedView::decode transmutaba un ’slice’ prestado a &’static [u8], y la implementación de Deref exponía la vida útil ’static promovida en campos de vista prestados (como &’static str y &’static [u8]) a los llamadores, por lo que el verificador de préstamos permitía que esas referencias sobrevivieran al OwnedView; una vez que el OwnedView era descartado y su búfer de respaldo liberado, las referencias quedaban colgantes, lo que permitía la corrupción de memoria, la revelación de información del contenido de la memoria ’heap’ liberada y el uso indebido entre hilos sin ningún código inseguro en la aplicación llamadora. Este problema está solucionado en la versión 0.7.0.
Impacto
Puntuación base 4.0
5.90
Gravedad 4.0
MEDIA