libcue<=2.2.1 任意代码执行漏洞【POC公开】-低调大师

libcue<=2.2.1 任意代码执行漏洞【POC公开】

2023-10-11 439

漏洞描述

libcue 是一个用于解析和操作 CUE 文件的开源 C 语言库，CUE 文件用于记录光盘音乐信息、轨道布局等信息。GNOME 是UNIX系统/类UNIX操作系统的桌面环境，其中的tracker-miners组件用于对目录中的文件建立索引，tracker-miners 的子模块 tracker-extract 用于扫描下载的文件。

libcue 2.2.1及之前版本存在整数溢出漏洞，tracker-extract 引入了libcue，攻击者可诱导使用 GNOME 桌面环境的用户下载恶意 cue 文件远程执行任意代码。

初步排查：Gentoo、Arch Linux、Ubuntu、Debian Linux发行版均已发布新版本，红帽、CentOS、Fedora、OpenSuse 系统暂未修复。

漏洞名称	libcue<=2.2.1 任意代码执行漏洞【POC公开】
漏洞类型	越界写入
发现时间	2023-10-10
漏洞影响广度	一般
MPS编号	MPS-lrb0-1kom
CVE编号	CVE-2023-43641
CNVD编号	-

影响范围

libcue@(-∞, 2.2.1]

libcue@影响所有版本

修复方案

官方已发布补丁：https://github.com/lipnitsk/libcue/commit/fdf72c8bded8d24cfa0608b8e97f2eed210a920e

参考链接

https://www.oscs1024.com/hd/MPS-lrb0-1kom

https://nvd.nist.gov/vuln/detail/CVE-2023-43641

https://github.blog/2023-10-09-coordinated-disclosure-1-click-rce-on-gnome-cve-2023-43641/

https://github.com/github/securitylab/blob/3cb0ebc37170149ef5e91a3bd641631c4eeedd06/SecurityExploits/libcue/track_set_index_CVE-2023-43641/CVE-2023-43641-poc-simple.cue

https://github.com/lipnitsk/libcue/commit/fdf72c8bded8d24cfa0608b8e97f2eed210a920e

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/261253

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Firefox 118.0.2 发布

Firefox 118.0.2 现已发布，此版本进行了一些 bug 修复。具体更新内容如下： Fixed 修复了 betsoft.com 上无法加载的游戏（bug 1856145）修复了某些 SVG 图像的 printing 问题（bug 1853727）修复了带验证的 CORS XHR不再工作的问题（bug 1855650）修复了 h264 WebRTC 视频在某些情况下无法工作的问题（bug 1855636）修复了 Firefox 翻译在某些页面上不起作用的问题（bugs 1841656 - 1855307）稳定性修复（bugs 1851991 - 1799326 - 1856637）更新说明：https://www.mozilla.org/en-US/firefox/118.0.2/releasenotes/

2023-10-11

432

路透社此前发文称RISC-V 技术将成为中美科技战的新战场，多名美国政客以国家安全为由，敦促拜登政府对 RISC-V 采取行动，呼吁拜登政府对 RISC-V 相关技术的出口实施限制。 10 月 10 日，RISC-V 国际基金会发布了一篇名为“RISC-V：由全球社区支持的开放标准，为所有人提供开放计算”的文章。例举了RISC-V 具有战略重要性的三个关键原因：几十年来，开放标准对于技术创新、采用和发展至关重要开放标准为广泛的利益相关者（就业、消费者、研究、学术界、工业界等）创造机会并刺激增长 RISC-V 是定义的开放标准计算指令集架构基金会 CEOCalista Redmond 在文章中表明，RISC-V 将会继续存在。RISC-V 是一个开放标准，吸收了来自世界各地的有意义的贡献。作为全球标准，RISC-V 不受任何单一公司或国家的控制。并强调： RISC-V 规范的开发基于非专有的贡献或均匀分布在北美、欧洲和亚洲的 RISC-V 成员公开培养的贡献。RISC-V International 不提供芯片设计、开源内核、专有 IP 或实现，而是发布一组常用的全球开放标准。这些...

2023-10-11

332

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。