libcue<=2.2.1 任意代码执行漏洞【POC公开】-低调大师

libcue<=2.2.1 任意代码执行漏洞【POC公开】

2023-10-11 358 89

漏洞描述

libcue 是一个用于解析和操作 CUE 文件的开源 C 语言库，CUE 文件用于记录光盘音乐信息、轨道布局等信息。GNOME 是UNIX系统/类UNIX操作系统的桌面环境，其中的tracker-miners组件用于对目录中的文件建立索引，tracker-miners 的子模块 tracker-extract 用于扫描下载的文件。

libcue 2.2.1及之前版本存在整数溢出漏洞，tracker-extract 引入了libcue，攻击者可诱导使用 GNOME 桌面环境的用户下载恶意 cue 文件远程执行任意代码。

初步排查：Gentoo、Arch Linux、Ubuntu、Debian Linux发行版均已发布新版本，红帽、CentOS、Fedora、OpenSuse 系统暂未修复。

漏洞名称	libcue<=2.2.1 任意代码执行漏洞【POC公开】
漏洞类型	越界写入
发现时间	2023-10-10
漏洞影响广度	一般
MPS编号	MPS-lrb0-1kom
CVE编号	CVE-2023-43641
CNVD编号	-

影响范围

libcue@(-∞, 2.2.1]

libcue@影响所有版本

修复方案

官方已发布补丁：https://github.com/lipnitsk/libcue/commit/fdf72c8bded8d24cfa0608b8e97f2eed210a920e

参考链接

https://www.oscs1024.com/hd/MPS-lrb0-1kom

https://nvd.nist.gov/vuln/detail/CVE-2023-43641

https://github.blog/2023-10-09-coordinated-disclosure-1-click-rce-on-gnome-cve-2023-43641/

https://github.com/github/securitylab/blob/3cb0ebc37170149ef5e91a3bd641631c4eeedd06/SecurityExploits/libcue/track_set_index_CVE-2023-43641/CVE-2023-43641-poc-simple.cue

https://github.com/lipnitsk/libcue/commit/fdf72c8bded8d24cfa0608b8e97f2eed210a920e

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/261253

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2023-10-11 15:00:00

Firefox 118.0.2 发布

Firefox 118.0.2 现已发布，此版本进行了一些 bug 修复。具体更新内容如下： Fixed 修复了 betsoft.com 上无法加载的游戏（bug 1856145）修复了某些 SVG 图像的 printing 问题（bug 1853727）修复了带验证的 CORS XHR不再工作的问题（bug 1855650）修复了 h264 WebRTC 视频在某些情况下无法工作的问题（bug 1855636）修复了 Firefox 翻译在某些页面上不起作用的问题（bugs 1841656 - 1855307）稳定性修复（bugs 1851991 - 1799326 - 1856637）更新说明：https://www.mozilla.org/en-US/firefox/118.0.2/releasenotes/

360

2023-10-11 10:46:00

RISC-V：不受任何单一公司或国家的控制

路透社此前发文称RISC-V 技术将成为中美科技战的新战场，多名美国政客以国家安全为由，敦促拜登政府对 RISC-V 采取行动，呼吁拜登政府对 RISC-V 相关技术的出口实施限制。 10 月 10 日，RISC-V 国际基金会发布了一篇名为“RISC-V：由全球社区支持的开放标准，为所有人提供开放计算”的文章。例举了RISC-V 具有战略重要性的三个关键原因：几十年来，开放标准对于技术创新、采用和发展至关重要开放标准为广泛的利益相关者（就业、消费者、研究、学术界、工业界等）创造机会并刺激增长 RISC-V 是定义的开放标准计算指令集架构基金会 CEOCalista Redmond 在文章中表明，RISC-V 将会继续存在。RISC-V 是一个开放标准，吸收了来自世界各地的有意义的贡献。作为全球标准，RISC-V 不受任何单一公司或国家的控制。并强调： RISC-V 规范的开发基于非专有的贡献或均匀分布在北美、欧洲和亚洲的 RISC-V 成员公开培养的贡献。RISC-V International 不提供芯片设计、开源内核、专有 IP 或实现，而是发布一组常用的全球开放标准。这些...

246

资源下载

更多资源

优质分享Android(本站安卓app)

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Oracle Database，又名Oracle RDBMS

Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是目前世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小、微机环境。它是一种高效率、可靠性好的、适应高吞吐量的数据库方案。

Apache Tomcat7、8、9（Java Web服务器）

Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。因为Tomcat 技术先进、性能稳定，而且免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。

Sublime Text 一个代码编辑器

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。