CVE-2020-37065: Estouro de buffer no StreamRipper32 2.6 via entrada SongPattern
O StreamRipper32 versão 2.6 é descrito como contendo um estouro de buffer na seção Station/Song, acessível pela entrada SongPattern. O fornecedor do registro, VulnCheck, classifica a falha como crítica com CVSS 3.1 de 9.8, e a descrição afirma que ela poderia potencialmente permitir execução de código arbitrário. O registro não mostra inclusão no KEV, dados de EPSS nem versão corrigida.
Visão geral
O StreamRipper32 versão 2.6 é descrito como contendo um estouro de buffer na seção Station/Song. Segundo a descrição, a entrada SongPattern pode ser manipulada para sobrescrever memória, e um payload maior que 256 bytes poderia potencialmente permitir execução de código arbitrário. A fraqueza é classificada como CWE-120 (Classic Buffer Overflow).
Impacto
- Confirmado pelo registro: a classe da vulnerabilidade é um estouro de buffer capaz de sobrescrever memória.
- Segundo a descrição, uma exploração bem-sucedida poderia potencialmente levar à execução de código arbitrário e ao comprometimento da aplicação.
- A pontuação CVSS 3.1 de 9.8 (crítica) e o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H são atribuídos a disclosure@vulncheck.com no registro. O vetor indica acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- Também consta uma pontuação CVSS 4.0 de 8.4 do mesmo fornecedor.
Produtos e versões afetadas
- Produto: StreamRipper32.
- Versão citada na descrição: 2.6.
- A lista estruturada de versões afetadas no registro está vazia, portanto a faixa completa de versões afetadas é desconhecida.
- A página do projeto consta nas referências: página do projeto StreamRipper
Status de exploração
- No registro, a entrada no catálogo KEV da CISA está marcada como não listada. Nenhuma exploração ativa confirmada ou exploração na natureza aparece nas fontes consultadas.
- O registro inclui uma referência da Exploit-DB: referência Exploit-DB. A presença dessa referência pública não confirma, por si só, exploração na natureza, e seu conteúdo não é reproduzido aqui.
- Dados do EPSS não estão disponíveis no registro.
Correção e mitigação
- Nenhuma versão corrigida é listada no registro. Isso não significa que não exista correção; o status de uma correção é desconhecido.
- Verifique os canais do projeto upstream e do fornecedor em busca de uma versão atualizada ou de um aviso antes de implantar.
- Se não houver atualização, considere remover ou substituir o software por uma alternativa mantida.
- Reduza a exposição: execute a aplicação somente onde for necessário, restrinja o acesso de rede a ela e evite alimentá-la com metadados de estações ou músicas não confiáveis.
- Aplique o princípio do menor privilégio à conta que executa a aplicação para reduzir o impacto de um comprometimento.
Orientações de detecção
- Observe falhas inesperadas, reinícios ou encerramentos anormais da aplicação, que podem acompanhar corrupção de memória.
- Revise logs e fontes de metadados em busca de entradas de estações ou músicas anormalmente longas ou malformadas.
- Monitore processos filhos inesperados ou conexões de saída originadas no host da aplicação.
- São indicadores de alto nível; o registro não descreve artefatos específicos.
Limitações das informações disponíveis
- O título do registro está vazio, por isso os títulos foram redigidos a partir da descrição.
- A vulnerabilidade é descrita por um terceiro (VulnCheck) e o registro traz status de origem Deferred.
- A descrição não especifica o caminho de código vulnerável exato, as plataformas testadas nem se versões posteriores corrigem o problema.
- A descrição afirma execução de código potencial; o registro não confirma se isso é alcançável na prática.
- As pontuações CVSS 3.1 e 4.0 vêm do fornecedor indicado no registro, e não de uma avaliação oficial presente nos dados fornecidos.
Perguntas frequentes
A CVE-2020-37065 é conhecida por ser explorada?
O registro marca a entrada no KEV da CISA como não listada, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. Há uma referência pública na Exploit-DB, mas isso sozinho não confirma exploração na natureza.
Quais versões são afetadas?
A descrição cita a versão 2.6. A lista estruturada de afetados está vazia, portanto a faixa completa de versões afetadas é desconhecida.
Existe uma versão corrigida?
Nenhuma versão corrigida é listada no registro. A ausência de correção listada não significa que ela não exista, então verifique o projeto upstream e os canais do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.