Vulnerabilidad en una comprobación de la firma GPG en el contenedor Proglottis Go para la biblioteca GPGME (CVE-2020-8945)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-416
Utilización después de liberación
Fecha de publicación:
12/02/2020
Última modificación:
07/11/2023
Descripción
El contenedor Proglottis Go versiones anteriores a 0.1.1 para la biblioteca GPGME, presenta un uso de la memoria previamente liberada, como es demostrado por el uso para las extracciones de imágenes de contenedores para Docker o CRI-O. Esto conlleva a un bloqueo o posible ejecución de código durante una comprobación de la firma GPG.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Puntuación base 2.0
5.10
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:gpgme_project:gpgme:*:*:*:*:*:go:*:* | 0.1.1 (excluyendo) | |
cpe:2.3:a:redhat:openshift_container_platform:3.11:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform:4.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform:4.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform:4.3:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform:4.4:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform:4.5:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform_for_ibm_z:4.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform_for_ibm_z:4.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform_for_linuxone:4.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:redhat:openshift_container_platform_for_linuxone:4.2:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:enterprise_linux:7.0:*:*:*:*:*:*:* | ||
cpe:2.3:o:redhat:enterprise_linux:8.0:*:*:*:*:*:*:* | ||
cpe:2.3:o:fedoraproject:fedora:30:*:*:*:*:*:*:* | ||
cpe:2.3:o:fedoraproject:fedora:31:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://access.redhat.com/errata/RHSA-2020:0679
- https://access.redhat.com/errata/RHSA-2020:0689
- https://access.redhat.com/errata/RHSA-2020:0697
- https://bugzilla.redhat.com/show_bug.cgi?id=1795838
- https://github.com/containers/image/commit/4c7a23f82ef09127b0ff28366d1cf31316dd6cc1
- https://github.com/proglottis/gpgme/compare/v0.1.0...v0.1.1
- https://github.com/proglottis/gpgme/pull/23
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3SOCLOPTSYABTE4CLTSPDIFE6ZZZR4LX/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/H6P6SSNKN4H6GSEVROHBDXA64PX7EOED/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/KDBT77KV3U7BESJX3P4S4MPVDGRTAQA2/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WXV7NZELYWRRCXATXU3FYD3G3WJT3WYM/