Версии FCGI от 0.44 до 0.82 для Perl включают уязвимую версию библиотеки FastCGI fcgi2 (также известной как fcgi). Включенная библиотека Fa…

Версии FCGI от 0.44 до 0.82 для Perl включают уязвимую версию библиотеки FastCGI fcgi2 (также известной как fcgi). Включенная библиотека FastCGI затронута уязвимостью CVE-2025-23016, вызывающей целочисленное переполнение (и последующее переполнение буфера в куче) посредством специально созданных значений nameLen или valueLen в данных, отправляемых на IPC-сокет. Это происходит в функции ReadParams в файле fcgiapp.c. Эксплуатация этой уязвимости возможна в 32-разрядных системах, где при распределении памяти с помощью malloc происходит целочисленное переполнение, что может привести к переполнению буфера в куче [1]. Уязвимость может быть использована для достижения удаленного выполнения кода, особенно в встроенных устройствах с ограниченными средствами защиты, такими как отсутствие ASLR или NX [2]. Для защиты рекомендуется обновить библиотеку FastCGI до исправленной версии 2.4.5 [3] и ограничить потенциальный удаленный доступ к сокету FastCGI, объявив его как UNIX-сокет [4]. Источники: - [1] http://www.openwall.com/lists/oss-security/2025/04/23/4 - [2] https://www.synacktiv.com/en/publications/cve-2025-23016-exploiting-the-fastcgi-library - [3] https://github.com/FastCGI-Archives/fcgi2/releases/tag/2.4.5 - [4] https://github.com/FastCGI-Archives/fcgi2/issues/67 - [5] https://github.com/perl-catalyst/FCGI/issues/14