GLSA 202406-04: LZ4: Memory Corruption

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	LZ4: Memory Corruption
Дата:	22.06.2024
Ошибки:	#791952
ID:	202406-04

Сводка

A vulnerability has been discovered in LZ4, which can lead to memory corruption.

Назначение

LZ4 is a lossless compression algorithm, providing compression speed > 500 MB/s per core, scalable with multi-cores CPU. It features an extremely fast decoder, with speed in multiple GB/s per core, typically reaching RAM speed limits on multi-core systems.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
app-arch/lz4	< 1.9.3-r1	>= 1.9.3-r1	All supported architectures

Описание

An attacker who submits a crafted file to an application linked with lz4 may be able to trigger an integer overflow, leading to calling of memmove() on a negative size argument, causing an out-of-bounds write and/or a crash.

Воздействие

The greatest impact of this flaw is to availability, with some potential impact to confidentiality and integrity as well.

Обход

There is no known workaround at this time.

Решение

All LZ4 users should upgrade to the latest version:

          # emerge --sync
          # emerge --ask --oneshot --verbose ">=app-arch/lz4-1.9.3-r1"

Ссылки

CVE-2021-3520

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-202406-04.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.