中危 ppp 输入验证错误漏洞

CVE编号

CVE-2022-4603

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-12-18

漏洞描述

ppp是Paul PPP Package开源的一个实现点对点协议（ppp）的库。ppp存在输入验证错误漏洞，该漏洞源于pppdump组件中pppdump/pppdump.c文件的dumpppp函数存在问题，对参数spkt.buf/rpkt.buf的操作会导致数组索引的验证不正确。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/ppp-project/ppp/commit/a75fb7b198eed50d769c80c36629f38346882cbf
https://vuldb.com/?id.216198

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	samba	ppp	*		Up to (excluding) 2022-08-03
	运行在以下环境
	系统	alpine_3.14	ppp	*		Up to (excluding) 2.4.9-r1
	运行在以下环境
	系统	alpine_3.15	ppp	*		Up to (excluding) 2.4.9-r3
	运行在以下环境
	系统	alpine_3.16	ppp	*		Up to (excluding) 2.4.9-r4
	运行在以下环境
	系统	alpine_3.17	ppp	*		Up to (excluding) 2.4.9-r6
	运行在以下环境
	系统	alpine_3.18	ppp	*		Up to (excluding) 2.4.9-r6
	运行在以下环境
	系统	alpine_edge	ppp	*		Up to (excluding) 2.4.9-r6
	运行在以下环境
	系统	debian_10	ppp	*		Up to (including) 2.4.7-2+4.1+deb10u1
	运行在以下环境
	系统	debian_11	ppp	*		Up to (including) 2.4.9-1+1
	运行在以下环境
	系统	debian_12	ppp	*		Up to (including) 2.4.9-1+1.1
	运行在以下环境
	系统	debian_sid	ppp	*		Up to (including) 2.4.9-1+1.1
	运行在以下环境
	系统	kylinos_aarch64_V10SP1	ppp	*		Up to (excluding) 2.4.8-4.ky10
	运行在以下环境
	系统	kylinos_aarch64_V10SP2	ppp	*		Up to (excluding) 2.4.8-4.ky10
	运行在以下环境
	系统	kylinos_aarch64_V10SP3	ppp	*		Up to (excluding) 2.4.8-4.ky10
	运行在以下环境
	系统	kylinos_loongarch64_V10SP1	ppp	*		Up to (excluding) 2.4.8-4.a.ky10
	运行在以下环境
	系统	kylinos_loongarch64_V10SP3	ppp	*		Up to (excluding) 2.4.8-4.p01.a.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP1	ppp	*		Up to (excluding) 2.4.8-4.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP2	ppp	*		Up to (excluding) 2.4.8-4.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP3	ppp	*		Up to (excluding) 2.4.8-4.ky10
	运行在以下环境
	系统	unionos_e	ppp	*		Up to (excluding) ppp-2.4.8-4.uel20

阿里云评分 6.6

• 攻击路径 本地
• 攻击复杂度 容易
• 权限要求 普通权限
• 影响范围 全局影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-119	内存缓冲区边界内操作的限制不恰当
CWE-129	对数组索引的验证不恰当

Exp相关链接

- avd.aliyun.com