Vim 中的堆缓冲区溢出（CVE-2024-45306）

CVE编号

CVE-2024-45306

利用情况

暂无

补丁情况

N/A

披露时间

2024-09-03
漏洞描述
Vim是一个开源的命令行文本编辑器。在v9.1.0038补丁中，优化了光标位置的计算并移除了一个循环，该循环验证了光标位置始终指向一行内部，并且不会指向一行末尾之外的位置而变得无效。当时我们认为这个循环是不必要的。然而，这一更改可能导致光标位置无效并指向行尾之外的位置，最终会在尝试访问指定光标位置的行指针时导致堆缓冲区溢出。目前尚不清楚光标指向无效位置的情况是如何产生的。因此，v9.1.0707补丁并未包含测试用例。目前观察到的唯一影响是程序崩溃。这个问题已在v9.1.0707补丁中得到解决。建议所有用户进行升级。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接
https://github.com/vim/vim/commit/396fd1ec2956307755392a1
https://github.com/vim/vim/releases/tag/v9.1.0038
https://github.com/vim/vim/security/advisories/GHSA-wxf9-c5gx-qrwr
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
系统 debian_11 vim * Up to
(excluding)
8.2.2434-3+deb11u1
运行在以下环境
系统 debian_12 vim * Up to
(excluding)
9.0.1378-2
CVSS3评分
N/A
  • 攻击路径
    N/A
  • 攻击复杂度
    N/A
  • 权限要求
    N/A
  • 影响范围
    N/A
  • 用户交互
    N/A
  • 可用性
    N/A
  • 保密性
    N/A
  • 完整性
    N/A
N/A
CWE-ID 漏洞类型
阿里云安全产品覆盖情况