CVE-2019-25547NetAware 1.20版本的用户屏蔽功能中存在缓冲区溢出漏洞。由于软件未对用户输入进行严格限制,本地攻击者可向过滤字段输入512字节的恶意数据。当系统处理移除该屏蔽项的操作时,会触发内存溢出,导致应用程序崩溃,从而造成拒绝服务攻击。
该漏洞源于NetAware 1.20在处理“用户屏蔽”功能时的输入验证机制缺失。具体而言,当攻击者向“添加要过滤的网站或关键字”输入框粘贴超过预设缓冲区大小的数据(即512字节)时,程序未进行有效的长度截断处理。该恶意数据被保存于内存中,当用户尝试移除该屏蔽规则时,程序底层调用字符串拷贝函数将数据复制到栈上的固定缓冲区。由于未检查源字符串长度,导致发生缓冲区溢出。溢出的数据覆盖了栈上的返回地址或相邻变量,破坏了程序的正常执行流,引发段错误或异常终止。虽然当前利用主要导致拒绝服务,但在特定条件下可能存在进一步利用风险。