CVE-2017-1000430 是 base64 crate 中的一个缓冲区溢出漏洞。当使用 encodeconfigbuf 和 encode_config 函数进行 base64 编码时，如果输入字符串过大，会导致整数溢出，从而分配一个过小的缓冲区。此漏洞影响 0.5.2 之前的版本，可能导致内存损坏，甚至允许攻击者执行任意代码。该漏洞已于 0.5.2 版本中修复。
该漏洞的潜在影响非常严重。攻击者可以通过精心构造的输入字符串触发整数溢出，导致缓冲区溢出。这使得攻击者能够向缓冲区之外写入数据，从而覆盖内存中的其他内容。如果攻击者能够控制写入的数据，他们可能能够覆盖关键数据结构或代码，从而执行任意代码。攻击者可以利用此漏洞获取对系统的完全控制权，窃取敏感数据，或进行其他恶意活动。由于 base64 crate 被广泛应用于各种 Rust 项目中，因此该漏洞的潜在影响范围非常广泛。
该漏洞已公开披露，并且存在潜在的利用风险。目前尚未发现该漏洞被大规模利用的证据，但由于其严重性和广泛性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录中。公开的 PoC 尚未发现，但漏洞的本质使其容易受到攻击。
Applications written in Rust that utilize the base64 crate are at risk. This includes projects relying on base64 encoding for data transmission, storage, or authentication. Specifically, applications that handle untrusted input data without proper validation are particularly vulnerable.
• rust/supply-chain:
cargo audit --target base64• rust/supply-chain:
cargo tree | grep base64• generic web: Inspect application logs for unusual memory access patterns or crashes related to base64 encoding operations. Look for errors indicating buffer overflows or memory corruption.
disclosure
漏洞利用状态
EPSS
0.48% (65% 百分位)
CVSS 向量
缓解此漏洞的最佳方法是升级到 base64 crate 的 0.5.2 或更高版本。如果无法立即升级，可以考虑使用 WAF 或代理来过滤可能触发漏洞的输入。此外，可以尝试使用更严格的输入验证来防止攻击者发送过大的输入字符串。由于该漏洞涉及内存损坏，因此难以通过配置更改来完全缓解。升级是首选的解决方案。升级后，请确认新版本已正确安装并运行，可以通过运行简单的 base64 编码测试来验证。
暂无官方补丁。请查找临时解决方案或持续关注更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2017-1000430 是 base64 crate 中一个严重的缓冲区溢出漏洞，可能导致内存损坏和任意代码执行。它影响 0.5.2 之前的版本。
如果您正在使用 base64 crate 的 0.5.2 之前的版本，那么您可能受到此漏洞的影响。请立即升级到最新版本。
修复此漏洞的最佳方法是升级到 base64 crate 的 0.5.2 或更高版本。
目前尚未发现该漏洞被大规模利用的证据，但由于其严重性和广泛性，建议尽快采取缓解措施。
请访问 base64 crate 的 GitHub 仓库获取更多信息：https://github.com/rust-lang/crates.io-index/issues/267
上传你的 Cargo.lock 文件，立即知道是否受影响。