Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la función opendmarc_xml_parse en opendmarc_xml en OpenDMARC (CVE-2020-12460)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-787 Escritura fuera de límites
Fecha de publicación:
27/07/2020
Última modificación:
07/11/2023

Descripción

OpenDMARC versiones hasta 1.3.2 y versiones desde 1.4.x hasta 1.4.0-Beta1, presenta una terminación nula inapropiada en la función opendmarc_xml_parse que puede resultar en un desbordamiento de la pila por un byte en opendmarc_xml al analizar un reporte agregado DMARC especialmente diseñado. Esto puede causar daños en la memoria remota cuando un byte "\0" sobrescribe los metadatos de la pila del siguiente fragmento y su flag PREV_INUSE

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:trusteddomain:opendmarc:*:*:*:*:*:*:*:* 1.3.2 (incluyendo)
cpe:2.3:a:trusteddomain:opendmarc:1.4.0:beta0:*:*:*:*:*:*
cpe:2.3:a:trusteddomain:opendmarc:1.4.0:beta1:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*