CVE-2019-18397

Un desbordamiento de búfer en la función fribidi_get_par_embedding_levels_ex() en la biblioteca lib/fribidi-bidi.c de GNU FriBidi versiones hasta 1.0.7, permite a un atacante causar una denegación de servicio o posiblemente ejecutar código arbitrario al entregar contenido de texto diseñado a un usuario, cuando este contenido es entonces renderizado mediante una aplicación que utiliza FriBidi para los cálculos de diseño de texto. Los ejemplos incluyen cualquier aplicación basada en GNOME o GTK+ que use Pango para el diseño de texto, ya que esto utiliza internamente FriBidi para el diseño de texto bidireccional. Por ejemplo, el atacante puede construir un archivo de texto diseñado para abrirse en GEdit, o un mensaje IRC diseñado para ser visualizado en HexChat.

A heap-based buffer overflow vulnerability was found in GNU FriBidi, an implementation of the Unicode Bidirectional Algorithm (bidi). When the flaw is triggered it's possible to manipulate the heap contents, leading to memory corruption causing a denial of service and to arbitrary code execution. The highest threat from this flaw to both data and system availability.