CVE-2019-25593jetCast Server 2.0 版本中存在一个严重的拒绝服务漏洞。由于软件未对日志目录配置字段的输入长度进行严格校验,本地攻击者可向该字段粘贴约5000个字符的超长字符串。当用户点击启动按钮时,会触发缓冲区溢出,导致服务器进程崩溃并终止。尽管攻击需要本地交互,但仍可造成服务中断及潜在的内存信息泄露风险。
该漏洞的根源在于 jetCast Server 2.0 在处理“日志目录”配置输入时,缺乏有效的边界检查机制。当本地攻击者获取系统访问权限后,可构造一个包含5000个字符(例如重复的'A')的恶意字符串,并将其粘贴到应用程序的日志目录路径输入框中。随后,攻击者点击界面上的“Start”按钮,应用程序尝试读取并处理该路径。由于未限制缓冲区长度,过长的输入导致栈溢出或内存破坏,覆盖了关键的返回地址或异常处理结构。这不仅会导致应用程序崩溃和服务器进程终止,造成拒绝服务,而且根据CVSS v3.1评分显示机密性影响为高,推测该漏洞可能允许攻击者读取特定的内存区域,从而泄露敏感信息。