CVE-2021-38185
GNU cpio 2.13 तक के संस्करण हमलावरों को एक विशेष रूप से तैयार की गई पैटर्न फ़ाइल के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देते हैं, क्योंकि dstring.c में ds_fgetstr का पूर्णांक अतिप्रवाह (integer overflow)...
- प्रकाशित
- 7 अग॰ 2021
- अद्यतन
- 9 जून 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 90.8%
- मॉडल दिनांक
- 19 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
GNU cpio 2.13 तक के संस्करण हमलावरों को एक विशेष रूप से तैयार की गई पैटर्न फ़ाइल के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देते हैं, क्योंकि dstring.c में ds_fgetstr का पूर्णांक अतिप्रवाह (integer overflow) होता है जो सीमा से बाहर (out-of-bounds) हीप लेखन को ट्रिगर करता है। नोट: यह स्पष्ट नहीं है कि क्या सामान्य मामलों में -E विकल्प से जुड़ी पैटर्न फ़ाइल अविश्वसनीय डेटा होती है।
स्रोत
- cpiopwnPoC
ACE poc शोषण glibc cpio 2.13 के माध्यम से mmap चंक मेटाडेटा भ्रष्टाचार हेतु (CVE-2021-38185)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।