CVE-2019-25625Blob Studio 2.17版本存在一个本地拒绝服务漏洞。该漏洞允许攻击者通过应用程序的密钥输入机制提供畸形输入数据来导致应用程序崩溃。攻击者可以创建一个包含大量重复字符的文本文件(即一个大缓冲区),并诱使应用程序读取该文件。由于程序缺乏对输入长度的有效校验,读取操作会触发内存处理错误,导致应用程序崩溃或处于无响应状态。此漏洞利用无需用户交互且无需特殊权限,主要影响系统的可用性。
该漏洞的根本原因是Blob Studio 2.17在处理特定文件输入时,未实施严格的边界检查。具体来说,当应用程序通过密钥入口机制读取文本文件时,其内部缓冲区分配可能不足以容纳攻击者提供的超长数据流。攻击者通过构造一个包含大量重复字符(如数千个'A')的文件,利用本地访问权限(AV:L)触发读取操作。在无用户交互(UI:N)且无需特权(PR:N)的情况下,过长的数据流会覆盖相邻内存区域,导致缓冲区溢出。这种内存破坏破坏了程序的正常执行流,引发异常处理机制失效,最终导致应用程序终止。虽然漏洞主要影响可用性(A:H),对机密性(C:N)和完整性(I:N)影响较小,但能稳定造成服务中断。