整数オーバーフローにより、encode_config_buf でヒープベースのバッファオーバーフローが発生する

この脆弱性は、攻撃者がbase64エンコード処理中にバッファオーバーフローを引き起こすことを可能にします。これにより、攻撃者はメモリの内容を上書きし、プログラムの実行フローを制御し、最終的に任意のコードを実行する可能性があります。特に、このcrateが他のソフトウェアコンポーネントに組み込まれている場合、攻撃者はそのコンポーネント全体を侵害する可能性があります。メモリ破壊は、サービス拒否（DoS）攻撃、機密情報の漏洩、またはシステム制御の完全な喪失につながる可能性があります。この脆弱性の悪用は、メモリ破壊攻撃の一般的なパターンに類似しており、攻撃者はバッファオーバーフローを利用して、プログラムのセキュリティメカニズムをバイパスし、悪意のあるコードを実行します。

Applications written in Rust that utilize the base64 crate are at risk. This includes projects relying on base64 encoding for data transmission, storage, or authentication. Specifically, applications that handle untrusted input data without proper validation are particularly vulnerable.

• rust/supply-chain:

cargo audit --target base64

• rust/supply-chain:

cargo tree | grep base64

• generic web: Inspect application logs for unusual memory access patterns or crashes related to base64 encoding operations. Look for errors indicating buffer overflows or memory corruption.

1. 2017-05-03Disclosure

   disclosure

1. 公開日2017-05-03
2. 更新日2023-11-08
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な軽減策は、base64 Rust crateをバージョン0.5.2以降にアップグレードすることです。アップグレードがアプリケーションの互換性に影響を与える場合は、一時的な回避策として、入力文字列の長さを制限することを検討してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるbase64エンコードリクエストをブロックすることも有効です。この脆弱性の悪用を検出するために、メモリ破壊に関連する異常な動作を監視するIDS（侵入検知システム）ルールを作成することも推奨されます。アップグレード後、メモリ破壊の兆候がないか、base64エンコード処理を注意深く監視して、脆弱性が完全に修正されていることを確認してください。