La vulnérabilité CVE-2026-6067 est un dépassement de tampon dans le composant Netwide Assembler (NASM). Cette vulnérabilité est due à un manque de vérification des limites dans la fonction obj_directive(). Elle peut être exploitée par un attaquant en assemblant un fichier .asm malveillant, ce qui peut entraîner une corruption de la mémoire, un déni de service (plantage) et potentiellement l'exécution de code arbitraire. Elle affecte les versions 3.02rc5 et nasm-3.02rc5.
La CVE-2026-6067 expose une vulnérabilité de débordement de tampon sur la pile dans le Netwide Assembler (NASM). Cette faille se produit à l'intérieur de la fonction obj_directive() en raison d'un manque de vérification des limites. Un attaquant peut exploiter cette vulnérabilité en créant un fichier .asm malveillant. L'assemblage de ce fichier peut entraîner une corruption de la mémoire de la pile, ce qui peut entraîner un déni de service (plantage du programme) ou, plus grave encore, l'exécution de code arbitraire. La gravité de cette vulnérabilité découle de son potentiel à compromettre l'intégrité et la disponibilité du système. L'absence d'une correction connue aggrave la situation, nécessitant une évaluation minutieuse des risques et la mise en œuvre de mesures d'atténuation alternatives.
L'exploitation de la CVE-2026-6067 nécessite qu'un attaquant soit capable de contrôler le contenu d'un fichier .asm qui sera assemblé à l'aide de NASM. Cela peut se produire dans des scénarios où NASM est utilisé dans le cadre d'un processus de construction automatisé ou lorsque les utilisateurs peuvent télécharger et assembler indépendamment des fichiers .asm. L'attaquant doit créer le fichier .asm de manière à déclencher un débordement de tampon dans la fonction obj_directive(). La complexité de l'exploitation dépendra de l'architecture du système et des protections de sécurité en place, telles que la prévention de l'exécution des données (DEP) et la randomisation de la disposition de l'espace d'adressage (ASLR). Cependant, l'absence d'une correction connue implique que la fenêtre d'opportunité pour l'exploitation pourrait être significative.
Developers and system administrators who use NASM to assemble code, particularly in automated build pipelines or environments where untrusted .asm files are processed, are at risk. Systems relying on NASM for critical infrastructure or sensitive applications face the highest potential impact.
• linux / server:
ps aux | grep nasm• generic web:
curl -I http://yourserver/nasm | grep 'Server:'disclosure
Statut de l'Exploit
EPSS
0.06% (percentile 20%)
Étant donné qu'il n'existe pas de correctif officiel pour la CVE-2026-6067, l'atténuation se concentre sur la réduction de la surface d'attaque et la limitation de l'impact potentiel. Il est fortement recommandé d'éviter d'assembler des fichiers .asm provenant de sources non fiables. Effectuer une analyse statique du code source de NASM peut aider à identifier et à corriger la vulnérabilité en interne. De plus, surveillez de près les systèmes utilisant NASM à la recherche de comportements anormaux pouvant indiquer une exploitation. Envisager l'utilisation d'assembleurs alternatifs, lorsque cela est possible, pourrait être une stratégie d'atténuation à long terme. La mise à jour vers la dernière version disponible de NASM, bien qu'elle ne corrige pas directement la vulnérabilité, peut inclure d'autres correctifs de sécurité qui améliorent la posture générale du système.
Actualice a una versión corregida de NASM. La vulnerabilidad se encuentra en la versión 3.02rc5 y se espera que las versiones posteriores contengan la corrección. Consulte el repositorio de GitHub para obtener más información y actualizaciones.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
NASM (Netwide Assembler) est un assembleur populaire utilisé pour créer du code machine à partir du langage assembleur.
Si un utilisateur assemble un fichier .asm malveillant, cela peut entraîner un plantage du programme ou, plus grave encore, l'exécution de code arbitraire.
Actuellement, il n'y a pas de correctif officiel disponible.
Évitez d'assembler des fichiers .asm provenant de sources non fiables et surveillez vos systèmes à la recherche de comportements anormaux.
Vous pouvez trouver plus d'informations sur la CVE-2026-6067 sur les bases de données de vulnérabilités telles que le NVD (National Vulnerability Database).
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.