CVE-2025-32990
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W bibliotece GnuTLS w narzędziu certtool podczas parsowania plików szablonów wykryto błąd przepełnienia sterty (off-by-one). Atakujący może wykorzystać tę podatność do zapisu wskaźnika NULL poza dozwolonym obszarem pamięci, co prowadzi do uszkodzenia pamięci i odmowy usługi (DoS) mogącej spowodować awarię systemu.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego lub lokalnego wywołania awarii systemu poprzez dostarczenie specjalnie spreparowanego pliku szablonu, co może zakłócić działanie usług krytycznych.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę GnuTLS do najnowszej wersji zawierającej poprawkę oraz ograniczyć dostęp do narzędzia certtool tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A heap-buffer-overflow (off-by-one) flaw was found in the GnuTLS software in the template parsing logic within the certtool utility. When it reads certain settings from a template file, it allows an attacker to cause an out-of-bounds (OOB) NULL pointer write, resulting in memory corruption and a denial-of-service (DoS) that could potentially crash the system.