Уязвимость вне границ буфера в GLib (CVE-2026-58014)

В библиотеке GLib, широко используемой в приложениях и системных компонентах на базе GNOME и GTK, выявлена уязвимость, получившая идентификатор CVE-2026-58014. Проблема связана с обработкой конфигурационных key-файлов и потенциально может привести к нарушению целостности памяти или отказу в обслуживании.

Подробности

Речь идёт об ошибке типа off-by-one (выход за границу массива на один элемент) в функции g_key_file_get_locale_string_list, определённой в файле gkeyfile.c. Функция используется для получения списка локализованных строк из key-файла — формата конфигурации, применяемого в среде GNOME и связанных проектах.

Согласно описанию, ошибка проявляется при загрузке key-файла, содержащего пустое значение. В этом случае возникает доступ за границами буфера размером в один байт. Если такой выход за пределы выделенной области пересекает границу страницы памяти, это приводит к аварийному завершению процесса — то есть к отказу в обслуживании. При определённых условиях возможны и иные последствия, связанные с нарушением работы памяти.

Уязвимости присвоена оценка CVSS 7.3, что соответствует высокому уровню опасности.

В число затронутых продуктов входят GNOME GLib, а также перечисленные в записи CVE версии Red Hat Enterprise Linux, включая RHEL 7 Extended Lifecycle Support, RHEL 8 (и ряд её вариантов — EUS, Long-Life Add-On, Telecommunications Update Service, Update Services for SAP Solutions), RHEL 9 (в том числе 9.2, 9.4 и 9.6 в рамках Update Services for SAP Solutions и Extended Update Support) и RHEL 10 (включая 10.0 Extended Update Support).

Что делать

Основная рекомендация — установить обновления GLib от поставщика вашей операционной системы или дистрибутива, как только они станут доступны. Для пользователей Red Hat Enterprise Linux следует отслеживать выпуск исправленных пакетов в каналах поддержки, соответствующих используемой версии ОС.

До момента выпуска официального патча можно рассмотреть временные меры защиты: ограничить приём недоверенных key-файлов и проверять их содержимое перед загрузкой, избегать обработки файлов с пустыми значениями параметров, а также применять механизмы изоляции процессов и другие средства снижения последствий отказа в обслуживании. Поскольку приложения могут обрабатывать конфигурации из внешних источников, такие митигации особенно актуальны в сценариях, где data-файлы поступают от пользователей или сторонних систем.

Уязвимость CVE-2026-58014 относится к классу ошибок, которые легко упустить при разработке, но которые способны привести к серьёзным последствиям, включая отказ в обслуживании. Доступность обновлений и своевременная реакция администраторов позволят снизить риск эксплуатации. Компаниям стоит проверить, какие из их систем используют GLib и затронутые версии RHEL, и включить соответствующие исправления в план обновлений.

Источник: CVE Project (cvelistV5)