libcue<=2.2.1 任意代码执行漏洞【POC公开】-低调大师

libcue<=2.2.1 任意代码执行漏洞【POC公开】

2023-10-11 420

漏洞描述

libcue 是一个用于解析和操作 CUE 文件的开源 C 语言库，CUE 文件用于记录光盘音乐信息、轨道布局等信息。GNOME 是UNIX系统/类UNIX操作系统的桌面环境，其中的tracker-miners组件用于对目录中的文件建立索引，tracker-miners 的子模块 tracker-extract 用于扫描下载的文件。

libcue 2.2.1及之前版本存在整数溢出漏洞，tracker-extract 引入了libcue，攻击者可诱导使用 GNOME 桌面环境的用户下载恶意 cue 文件远程执行任意代码。

初步排查：Gentoo、Arch Linux、Ubuntu、Debian Linux发行版均已发布新版本，红帽、CentOS、Fedora、OpenSuse 系统暂未修复。

漏洞名称	libcue<=2.2.1 任意代码执行漏洞【POC公开】
漏洞类型	越界写入
发现时间	2023-10-10
漏洞影响广度	一般
MPS编号	MPS-lrb0-1kom
CVE编号	CVE-2023-43641
CNVD编号	-

影响范围

libcue@(-∞, 2.2.1]

libcue@影响所有版本

修复方案

官方已发布补丁：https://github.com/lipnitsk/libcue/commit/fdf72c8bded8d24cfa0608b8e97f2eed210a920e

参考链接

https://www.oscs1024.com/hd/MPS-lrb0-1kom

https://nvd.nist.gov/vuln/detail/CVE-2023-43641

https://github.blog/2023-10-09-coordinated-disclosure-1-click-rce-on-gnome-cve-2023-43641/

https://github.com/github/securitylab/blob/3cb0ebc37170149ef5e91a3bd641631c4eeedd06/SecurityExploits/libcue/track_set_index_CVE-2023-43641/CVE-2023-43641-poc-simple.cue

https://github.com/lipnitsk/libcue/commit/fdf72c8bded8d24cfa0608b8e97f2eed210a920e

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/261253

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Firefox 118.0.2 发布

Firefox 118.0.2 现已发布，此版本进行了一些 bug 修复。具体更新内容如下： Fixed 修复了 betsoft.com 上无法加载的游戏（bug 1856145）修复了某些 SVG 图像的 printing 问题（bug 1853727）修复了带验证的 CORS XHR不再工作的问题（bug 1855650）修复了 h264 WebRTC 视频在某些情况下无法工作的问题（bug 1855636）修复了 Firefox 翻译在某些页面上不起作用的问题（bugs 1841656 - 1855307）稳定性修复（bugs 1851991 - 1799326 - 1856637）更新说明：https://www.mozilla.org/en-US/firefox/118.0.2/releasenotes/

2023-10-11

414

路透社此前发文称RISC-V 技术将成为中美科技战的新战场，多名美国政客以国家安全为由，敦促拜登政府对 RISC-V 采取行动，呼吁拜登政府对 RISC-V 相关技术的出口实施限制。 10 月 10 日，RISC-V 国际基金会发布了一篇名为“RISC-V：由全球社区支持的开放标准，为所有人提供开放计算”的文章。例举了RISC-V 具有战略重要性的三个关键原因：几十年来，开放标准对于技术创新、采用和发展至关重要开放标准为广泛的利益相关者（就业、消费者、研究、学术界、工业界等）创造机会并刺激增长 RISC-V 是定义的开放标准计算指令集架构基金会 CEOCalista Redmond 在文章中表明，RISC-V 将会继续存在。RISC-V 是一个开放标准，吸收了来自世界各地的有意义的贡献。作为全球标准，RISC-V 不受任何单一公司或国家的控制。并强调： RISC-V 规范的开发基于非专有的贡献或均匀分布在北美、欧洲和亚洲的 RISC-V 成员公开培养的贡献。RISC-V International 不提供芯片设计、开源内核、专有 IP 或实现，而是发布一组常用的全球开放标准。这些...

2023-10-11

307

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。