Aller au contenu
en Se connecter
7.5 Élevée

CVE-2024-1394 Golang-fips/openssl: memory leaks in code encrypting and decrypting rsa payloads

Description

A memory leak flaw was found in Golang in the RSA encrypting/decrypting code, which might lead to a resource exhaustion vulnerability using attacker-controlled inputs​. The memory leak happens in github.com/golang-fips/openssl/openssl/rsa.go#L113. The objects leaked are pkey​ and ctx​. That function uses named return parameters to free pkey​ and ctx​ if there is an error initializing the context or setting the different properties. All return statements related to error cases follow the "return nil, nil, fail(...)" pattern, meaning that pkey​ and ctx​ will be nil inside the deferred function that should free them.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque
Réseau
Complexité
Faible
Privilèges requis
Aucun
Interaction
Aucune
Portée
Inchangée
Confidentialité
Aucun
Intégrité
Aucun
Disponibilité
Élevé

Produits et versions touchés

Produit Versions touchées Corrigé en
Red Hat Ansible Automation Platform 2.4 for RHEL 8 Versions non publiées
Red Hat Ansible Automation Platform 2.4 for RHEL 9 Versions non publiées
Red Hat Developer Tools Versions non publiées
Red Hat Enterprise Linux 8 Versions non publiées
Red Hat Enterprise Linux 9 Versions non publiées
Red Hat Enterprise Linux 9.0 Update Services for SAP Solutions Versions non publiées
Red Hat Enterprise Linux 9.2 Extended Update Support Versions non publiées
Red Hat OpenShift Container Platform 4.12 Versions non publiées
Red Hat OpenShift Container Platform 4.13 Versions non publiées
Afficher les 26 autres branches
Produit Versions touchées Corrigé en
Red Hat OpenShift Container Platform 4.14 414.92 premières → < 414.92.202407300859-0 414.92.202407300859-0
Red Hat OpenShift Container Platform 4.15 415.92 premières → < 415.92.202407191425-0 415.92.202407191425-0
Red Hat OpenStack Platform 16.2 Versions non publiées
Red Hat OpenStack Platform 17.1 for RHEL 8 Versions non publiées
Red Hat OpenStack Platform 17.1 for RHEL 9 Versions non publiées
RHODF-4.16-RHEL-9 4.16 premières → < 4.16.0-38 4.16.0-38
NBDE Tang Server Versions non publiées
OpenShift Developer Tools and Services Versions non publiées
OpenShift Pipelines Versions non publiées
OpenShift Serverless Versions non publiées
Red Hat Ansible Automation Platform 1.2 Versions non publiées
Red Hat Certification for Red Hat Enterprise Linux 8 Versions non publiées
Red Hat Certification Program for Red Hat Enterprise Linux 9 Versions non publiées
Red Hat Enterprise Linux 7 Versions non publiées
Red Hat OpenShift Container Platform 4 Versions non publiées
Red Hat Openshift Container Storage 4 Versions non publiées
Red Hat OpenShift Dev Spaces Versions non publiées
Red Hat OpenShift GitOps Versions non publiées
Red Hat OpenShift on AWS Versions non publiées
Red Hat OpenShift Virtualization 4 Versions non publiées
Red Hat OpenStack Platform 16.1 Versions non publiées
Red Hat OpenStack Platform 17.1 Versions non publiées
Red Hat OpenStack Platform 18.0 Versions non publiées
Red Hat Service Interconnect 1 Versions non publiées
Red Hat Software Collections Versions non publiées
Red Hat Storage 3 Versions non publiées

Références

Chronologie

  1. Publiée
  2. Dernière modification

Autres CVE de Red Hat Ansible Automation Platform 2.4 for RHEL 8

Les 21 CVE de Red Hat Ansible Automation Platform 2.4 for RHEL 8 →
CVE-2026-84719 Automation-controller: automation-controller: workflowjobtemplate /copy/ deep-copy sanitizer omits instance_groups authorization (instancegroup use_role bypass to control-plane) 9.9 Critique CVE-2026-75884 Awx: awx: privilege escalation to openshift namespace via pod_spec_override injection in container groups 9.1 Critique CVE-2026-84502 Automation-controller: automation-controller-container: automation-controller: project scm_url argument injection into `git ls-remote --upload-pack` yields rce on the controller-task control-plane pod 9.9 Critique CVE-2026-84474 Automation-controller: automation-controller-container: automation-controller: view_jobtemplate to execute privilege escalation via host_config_key exposure and x-forwarded-for spoofing of provisioning-callback host match 9.9 Critique
Suivre cette CVE