【严重漏洞】【poc公开】libcue任意代码执行漏洞

漏洞名称：芯片公司高通公布多个0day漏洞

漏洞出现时间：2023年10月6日

影响等级：严重

影响版本：

- 最新版本

漏洞说明：

    libcue提供了一个API，用于解析和提取CUE表中的数据。2.2.1及之前的版本易受越界数组访问的攻击。GNOME桌面环境的用户可能会通过从恶意网页下载提示表而受到攻击。由于该文件被保存到“~/Downloads”，因此跟踪矿工会自动扫描该文件。由于它有一个.cue文件扩展名，跟踪器矿工使用libcue来解析文件。该文件利用libcue中的漏洞获得代码执行。此问题在2.3.0版本中进行了修复

修复方式：

• 升级置最新版本

• https://github.com/lipnitsk/libcue/commit/fdf72c8bded8d24cfa0608b8e97f2eed210a920e
  

相关链接：

• https://github.com/lipnitsk/libcue/commit/fdf72c8bded8d24cfa0608b8e97f2eed210a920e

• https://nvd.nist.gov/vuln/detail/CVE-2023-43641
  

最快的威胁情报，最全的漏洞评估

Tips

libcue 是一个用于解析和操作 CUE 文件的开源 C 语言库，CUE 文件用于记录光盘音乐信息、轨道布局等信息。GNOME 是UNIX系统/类UNIX操作系统的桌面环境，其中的tracker-miners组件用于对目录中的文件建立索引，tracker-miners 的子模块 tracker-extract 用于扫描下载的文件。