Vulnerabilidad en Lucet (CVE-2021-43790)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-416 Utilización después de liberación

Fecha de publicación:

30/11/2021

Última modificación:

01/12/2021

Descripción

Lucet es un compilador y runtime nativo de WebAssembly. Se presenta un error en la rama principal de "lucet-runtime" que afecta a todas las versiones publicadas en crates.io y que permite un uso de memoria previamente liberada en un objeto Instance que podría resultar en corrupción de memoria, carrera de datos u otros problemas relacionados. Este bug fue introducido al principio del desarrollo de Lucet y está presente en todas las versiones. Como resultado de este error, y dependiendo del respaldo de memoria para los objetos de Instancia, es posible desencadenar un uso de memoria previamente liberada cuando la Instancia es abandonada. Los usuarios deben actualizar a la rama principal del repositorio de Lucet. Lucet ya no proporciona versiones en crates.io. No se presenta manera de remediar esta vulnerabilidad sin actualizar

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.10

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico