Platform
c
Component
editorconfig-core-c
Opgelost in
0.12.12
editorconfig-core-c is een core library voor EditorConfig, gebruikt door plugins om EditorConfig bestanden te parsen. Deze library is kwetsbaar voor een stack-based buffer overflow in de functie ec_glob(), waardoor een aanvaller applicaties kan laten crashen door een speciaal ontworpen directory structuur en .editorconfig bestand te leveren. De kwetsbaarheid treedt op in versies tot en met 0.12.10. Een fix is beschikbaar in versie 0.12.11.
CVE-2026-40489 treft editorconfig-core-c, een kernbibliotheek die wordt gebruikt door plugins die EditorConfig-parsing ondersteunen. Versies tot en met 0.12.10 bevatten een stapeloverloop in de functie ecglob(). Een aanvaller kan deze kwetsbaarheid misbruiken om elke applicatie te laten crashen die libeditorconfig gebruikt door een speciaal ontworpen directorystructuur en .editorconfig-bestand te verstrekken. Het is belangrijk op te merken dat deze kwetsbaarheid een onvolledige oplossing is voor CVE-2023-0341, aangezien de pcrestr-buffer in 0.12.6 beschermd werd, maar de aangrenzende l_pattern[8194] stapelbuffer geen equivalente bescherming kreeg, waardoor deze kwetsbaar blijft.
Het misbruiken van deze kwetsbaarheid vereist dat een aanvaller controle heeft over de directorystructuur en de inhoud van het .editorconfig-bestand dat door de applicatie wordt verwerkt. Dit kan gebeuren in scenario's waarin een gebruiker bestanden kan uploaden of de projectconfiguratie kan wijzigen. De aanvaller kan een directorystructuur en een .editorconfig-bestand maken dat speciaal ontworpen patronen bevat die bedoeld zijn om de bufferoverloop in de functie ec_glob() te activeren. De impact van het misbruiken kan variëren van een denial-of-service (waardoor de applicatie crasht) tot willekeurige code-uitvoering, afhankelijk van de systeemarchitectuur en de beveiligingsmaatregelen die zijn geïmplementeerd.
Applications and systems that rely on editorconfig-core-c for parsing .editorconfig files are at risk. This includes build systems, IDEs, and code editors that integrate with EditorConfig. Shared hosting environments where multiple users share the same server and potentially have access to each other's .editorconfig files are particularly vulnerable.
• linux / server: Monitor process crashes related to applications using editorconfig-core-c. Use journalctl to filter for errors and segmentation faults.
journalctl -u <application_name> --grep='Segmentation fault'• generic web: Examine access logs for unusual file requests related to .editorconfig files, particularly requests from unknown or suspicious sources.
grep '.editorconfig' /var/log/apache2/access.logdisclosure
Exploit Status
EPSS
0.02% (4% percentiel)
CISA SSVC
De belangrijkste mitigatie voor deze kwetsbaarheid is het upgraden naar versie 0.12.11 van editorconfig-core-c. Deze versie bevat de noodzakelijke fix om de stapeloverloop in ec_glob() te voorkomen. Als een onmiddellijke upgrade niet mogelijk is, controleer dan de code die libeditorconfig gebruikt om potentiële ingangspunten te identificeren waar een aanvaller de directorystructuur of de inhoud van het .editorconfig-bestand kan manipuleren. Het implementeren van strenge invoervalidatie en het beperken van de complexiteit van directorystructuren kan helpen het risico te verminderen. Het monitoren van applicatielogboeken op abnormaal gedrag kan ook nuttig zijn om potentiële exploitatiepogingen te detecteren.
Actualice a la versión 0.12.11 o posterior de la biblioteca editorconfig-core-c para mitigar el riesgo de desbordamiento del búfer de pila. Esta actualización corrige la vulnerabilidad al proteger el búfer de pila adyacente que no estaba protegido en versiones anteriores.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
EditorConfig is een standaard voor het handhaven van een consistente code-stijl in verschillende editors en ontwikkelomgevingen.
Het upgraden naar versie 0.12.11 lost een beveiligingskwetsbaarheid op die een aanvaller in staat zou kunnen stellen om de applicatie te laten crashen.
Controleer de code die libeditorconfig gebruikt en pas strenge invoervalidatie toe.
Monitor applicatielogboeken op abnormaal gedrag.
Ja, het is een onvolledige oplossing voor CVE-2023-0341, die een aspect aanpakt dat niet is opgelost in versie 0.12.6.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.