La GNU C Library (glibc) hasta la versión 2.29 contiene una vulnerabilidad de lectura fuera de límites en el montón (CWE-125) en la función proceed_next_node de posix/regexec.c. Se dispara al intentar una coincidencia de expresión regular que no distingue mayúsculas de minúsculas, lo que puede provocar la fuga de datos en memoria o la caída del proceso. Con un CVSS de 9.8, es crítica.
Afecta a glibc y a productos que la incorporan, como Ubuntu Linux, McAfee Web Gateway y varias soluciones de NetApp. Aunque la probabilidad de explotación real en 30 días es de 4.7% (percentil 91), Shodan ya indexa 39 hosts expuestos con este CVE, lo que confirma que hay objetivos reales en internet. GitHub la clasifica como CRITICAL en su aviso GHSA-mw8g-rgqf-rw5h.
| CVE | CVE-2019-9169 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 4.7% en 30 días (percentil 91) |
| CWE | CWE-125 |
| Exposición (Shodan) | 39 host(s) expuesto(s) en internet ahora mismo |