Zranitelnost v knihovně libcue může být zneužita ke vzdálenému spuštění kódu (RCE) na desktopovém systému s prostředím GNOME. Stačí k tomu přesvědčit uživatele ke kliknutí na škodlivý odkaz. Problém odhalil tým GitHub Security Lab a dostal označení CVE-2023–43641.
Bezpečnostní odborníci ukázali, že stačí kliknout na odkaz na webové stránce, čímž se stáhne soubor. Protože je soubor uložen do ~/Downloads, je pak automaticky skenován automatickými nástroji a protože má stažený soubor příponu .cue, je k analýze využita knihovna libcue. Obsah souboru pak zneužije zranitelnost v libcue ke spuštění kódu a nastartování kalkulačky.
Knihovna libcue je používána ke zpracování formátu metadat pro popis rozložení stop na CD. Tyto „cue listy“ se často používají v kombinaci s formátem zvukových souborů FLAC, což znamená, že na libcue závisejí některé přehrávače – třeba Audacious. Využívá ji ale také nástroj tracker-miner, který slouží k automatickému prohledávání a indexaci souborů v uživatelově domovském adresáři.
Problém spočívá ve špatné práci s celými čísly (integer), kde není kontrolováno přetečení. Zároveň se ovšem při práci s indexem nekontroluje, že je hodnota kladná. To lze zneužít a opustit hranice uloženého pole. Oprava spočívá v jednořádkové záplatě, která přidá kontrolu velikosti jedné proměnné.
ČLÁNKY DO MAILU