KnowSafe 安全预警：libcaca_project libcaca 内存缓冲区边界内操作的限制不恰当

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-3410 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

libcaca是一个将图像转换为彩色ASCII art的软件库。

libcaca v0.99.beta19中的libcaca/caca/canvas.c中的caca_resize函数存在缓冲区溢出漏洞。攻击者可利用该漏洞在用户上下文中执行任意代码。

影响范围

应用：libcaca_project libcaca（版本 0.99）

系统：alpine_3.15 libcaca（影响面 Up to (excluding) 0.99_beta20-r0）

系统：alpine_3.16 libcaca（影响面 Up to (excluding) 0.99_beta20-r0）

系统：alpine_3.17 libcaca（影响面 Up to (excluding) 0.99_beta20-r0）

系统：alpine_3.18 libcaca（影响面 Up to (excluding) 0.99_beta20-r0）

系统：alpine_3.19 libcaca（影响面 Up to (excluding) 0.99_beta20-r0）

系统：debian_11 libcaca（影响面 Up to (excluding) 0.99.beta19-2.2）

系统：debian_12 libcaca（影响面 Up to (excluding) 0.99.beta19-2.2）

……另有 13 项受影响环境，详见官方公告

解决方案

厂商尚未提供漏洞修复方案，请关注厂商主页更新：

https://bugzilla.redhat.com/show_bug.cgi?id=1928437

参考信息

https://bugzilla.redhat.com/show_bug.cgi?id=1928437

https://github.com/cacalabs/libcaca/issues/52

https://lists.debian.org/debian-lts-announce/2021/03/msg00006.html

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/6WFGYICNTMNDNMDDUV4G2RYFB5HNJCOV/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PC7EGOEQ5C4OD66ZUJJIIYEXBTZOCMZX/

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。