Średnia

Memory leak in Nanopb

Ujawniono: 25.11.2020
Aktualizacja: 11.10.2026 13:19

Impact

Decoding specifically formed message can leak memory if dynamic allocation is enabled and an oneof field contains a static submessage that contains a dynamic field, and the message being decoded contains the submessage multiple times. This is rare in normal messages, but it is a concern when untrusted data is parsed.

Patches

Preliminary patch is available on git and problem will be patched in versions 0.3.9.7 and 0.4.4 once testing has been completed.

Workarounds

Following workarounds are available:

Set the option no_unions for the oneof field. This will generate fields as separate instead of C union, and avoids triggering the problematic code.
Set the type of the submessage field inside oneof to FT_POINTER. This way the whole submessage will be dynamically allocated and the problematic code is not executed.
Use an arena allocator for nanopb, to make sure all memory can be released afterwards.

References

Bug report: https://github.com/nanopb/nanopb/issues/615

For more information

If you have any questions or comments about this advisory, comment on the bug report linked above.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	nanopb	>= 0.3.2, < 0.3.9.7, >= 0.4.0, < 0.4.4	0.3.9.7, 0.4.4

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-119, CWE-20
Platforma: Python (PyPI)
Paczka: nanopb
Ujawniono: 25.11.2020
Aktualizacja: 11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-684 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-85rr-4rh9-hhwh - CC BY 4.0

Historia podatności: nanopb

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 11.2020 03.2021
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 1

Ujawnienia w latach

2020: 1
2021: 1
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

23.03.2021

nanopb vulnerable to invalid free() call with oneofs and PB_ENABLE_MALLOC

Wysoka · 7.1 CVE-2021-21401 >= 0.3.2, < 0.3.9.8, >= 0.4.0, < 0.4.5 0.3.9.8, 0.4.5
25.11.2020

Memory leak in Nanopb ten wpis

Średnia · 7.5 CVE-2020-26243 >= 0.3.2, < 0.3.9.7, >= 0.4.0, < 0.4.4 0.3.9.7, 0.4.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację