CVE-2018-25214MegaPing是一款网络管理工具,其Finger功能组件存在严重的本地缓冲区溢出安全漏洞。攻击者无需任何认证,即可在本地环境下利用“目标地址列表”字段的输入验证缺陷。通过向该字段提交超长且经过特殊设计的恶意载荷,攻击者能够覆盖内存区域,进而触发应用程序崩溃。该漏洞主要导致拒绝服务,严重影响系统的可用性,但不会导致机密性泄露或完整性破坏。
该漏洞属于典型的本地缓冲区溢出。在MegaPing的Finger模块处理用户输入时,程序未能对“目标地址列表”字段的数据长度进行有效校验,直接将输入数据复制到固定大小的栈缓冲区中。当攻击者输入长度超过缓冲区容量的字符串时,多余的数据会溢出并覆盖相邻的内存地址。由于CVSS向量显示攻击复杂度低(AC:L)且无需权限(PR:N),本地攻击者可轻易构造超长字符串(如大量'A'字符)填入字段并触发操作。虽然该漏洞导致应用程序崩溃(A:H),但根据提供的向量(C:N/I:N),它主要用于造成拒绝服务,而非执行任意代码或窃取数据。