- Son 7 gün
- CWE-197
CVE-2026-116742
HTSlib'de .gzi indeks sayımı nedeniyle yığın bellek sınırlarının dışına yazma açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
HTSlib 1.24 ve öncesi sürümler, bgzf.c dosyasındaki bgzf_index_load_hfile fonksiyonunda yığın bellek sınırlarının dışına yazma ve okuma açığı içerir. Saldırganlar, özenle hazırlanmış bir .gzi indeks giriş sayısı sağlayarak yığın belleğini bozabilir. 0xFFFFFFFF değeri noffs değişkenini sıfıra kırptığı için, malloc(0) ile ayrılmış tampon dışına yazma işlemleri gerçekleşir ve bgzf_useek içinde offs[-1] konumundan okuma yapılır. Bu durum, samtools ve bcftools gibi araçlarda yığın bozulmasına veya çökmelere yol açar.
Kaynaktaki açıklama (İngilizce)
HTSlib through 1.24 contains a heap out-of-bounds write and read vulnerability in bgzf_index_load_hfile() in bgzf.c that allows attackers to corrupt heap memory by supplying a crafted .gzi index entry count. A count of 0xFFFFFFFF truncates noffs to zero, causing writes past a malloc(0) buffer and an offs[-1] read in bgzf_useek(), resulting in heap corruption or crashes in tools like samtools and bcftools.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| samtools htslib | ≤ 1.24 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/samtools/htslib/pull/2057 Yama
- github.com/…ommit/18dddf02bb2c0053b32acec427723555a24b2873 Yama
- hackmd.io/@haindpwn/htslib-bgzf-gzi-int-truncation-oob Üçüncü taraf
- github.com/samtools/htslib/issues/2113 Üçüncü taraf
- vulncheck.com/…-of-bounds-write-via-truncated-gzi-index-count Üçüncü taraf
- github.com/samtools/htslib Diğer
- github.com/samtools/htslib/blob/1.24/bgzf.c Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.