使用 PB_DECODE_DELIMITED 时，Nanopb 不会在错误返回时释放内存（CVE-2024-53984）
CVE编号
CVE-2024-53984
利用情况
暂无
补丁情况
N/A
披露时间
2024-12-03
漏洞描述
Nanopb是一个小巧的Protocol Buffers实现。当编译时启用PB_ENABLE_MALLOC选项，消息至少包含一个FT_POINTER字段类型，使用未知流长度的自定义流回调，并使用带有PB_DECODE_DELIMITED标志的pb_decode_ex()函数时，pb_decode_ex()函数不会像其他失败情况那样自动调用pb_release()，这可能导致内存泄漏和潜在的服务拒绝。此漏洞已在0.4.9.1版本中修复。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接
https://github.com/nanopb/nanopb/commit/2b86c255aa52250438d5aba124d0e86db495b378
https://github.com/nanopb/nanopb/security/advisories/GHSA-xwqq-qxmw-hj5r
文章评论