L’avis GHSA-259r-337f-4rfw décrit un débordement d’entier dans `s2.NewDict()` qui peut contourner la validation d’une valeur de répétition et provoquer un accès mémoire hors limites, entraînant un plantage du processus lorsque `Dict.Encode()` est appelé. Les applications Go qui acceptent des dictionnaires S2 non fiables sont concernées; mettre à jour `github.com/klauspost/compress` vers la version 1.18.7 ou ultérieure.
Analyse technique
Le débordement lors de la conversion d’une valeur uvarint en `int` peut faire accepter une valeur de répétition négative; son utilisation ultérieure dans l’encodage peut conduire à un accès hors limites et à un SIGSEGV. Le projet indique que la version 1.18.7 corrige un problème de lecture hors limites dans `NewDict`; cette version corrective est antérieure à la période du bulletin.
Impact, versions et correctif
Action recommandée
Mettre à jour vers github.com/klauspost/compress v1.18.7 ou une version ultérieure; vérifier les dépendances Go qui intègrent ce module, en particulier celles qui traitent des dictionnaires S2 fournis par des utilisateurs.
Sources
Priorisation DFS : P3 · 1 source(s).