GLSA 202501-05: libuv: Hostname Truncation

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	libuv: Hostname Truncation
Дата:	23.01.2025
Ошибки:	#924127
ID:	202501-05

Сводка

A vulnerability has been discovered in libuv, where hostname truncation can lead to attacker-controlled lookups.

Назначение

libuv is a multi-platform support library with a focus on asynchronous I/O.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-libs/libuv	< 1.48.0	>= 1.48.0	All supported architectures

Описание

Multiple vulnerabilities have been discovered in libuv. Please review the CVE identifiers referenced below for details.

Воздействие

The uv_getaddrinfo function in src/unix/getaddrinfo.c truncates hostnames to 256 characters before calling getaddrinfo. This behavior can be exploited to create addresses like 0x00007f000001, which are considered valid by getaddrinfo and could allow an attacker to craft payloads that resolve to unintended IP addresses, bypassing developer checks.

Обход

There is no known workaround at this time.

Решение

All libuv users should upgrade to the latest version:

          # emerge --sync
          # emerge --ask --oneshot --verbose ">=dev-libs/libuv-1.48.0"

Ссылки

CVE-2024-24806

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-202501-05.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.