Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu vifm i koordynował proces ujawniania informacji.

Podatność CVE-2026-8997: vifm jest podatny na przepełnienie bufora sterty podczas procesu scalania historii operacji przy zapisywaniu pliku stanu (vifminfo.json). Problem występuje, ponieważ aplikacja (w buildach produkcyjnych) nie wykonuje sprawdzenia długości wpisów, co może umożliwić specjalnie przygotowanej długiej ścieżce lub poleceniu w historii spowodowanie uszkodzenia pamięci lub awarii aplikacji.

Za podatne uznawane są wydania od 0.12.1 do 0.14.3 (włącznie). Problem został naprawiony w commicie 23063c7.

Podziękowania

Za zgłoszenie podatności dziękujemy Michałowi Majchrowiczowi oraz Marcinowi Wyczechowskiemu z AFINE.