CVE-2026-13574
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 — wyżej niż 2% wszystkich znanych CVE
Streszczenie
W bibliotece LLVM (projekt llvm-project) do wersji 22.1.6 wykryto podatność w funkcji GCRelocateInst::getBasePtr w pliku IntrinsicInst.cpp. Manipulacja danymi wejściowymi w obsłudze plików Bitcode powoduje przepełnienie bufora sterty. Atak może być przeprowadzony lokalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Organizacja narażona jest na lokalne wykonanie złośliwego kodu poprzez przetwarzanie spreparowanych plików Bitcode. Może to prowadzić do naruszenia integralności systemu lub uzyskania nieautoryzowanego dostępu.
Rekomendacja
Należy natychmiast zaktualizować LLVM do wersji nowszej niż 22.1.6, gdy tylko producent wyda łatkę. Do czasu aktualizacji ograniczyć dostęp do przetwarzania plików Bitcode tylko do zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in llvm llvm-project up to 22.1.6. This impacts the function GCRelocateInst::getBasePtr in the library llvm/lib/IR/IntrinsicInst.cpp of the component Bitcode File Handler. This manipulation causes heap-based buffer overflow. It is possible to launch the attack on the local host. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.