Buffa has a Use-After-Free in OwnedView via Unsound 'static Lifetime Promotion in Deref — GHSA-9PWQ-GCRX-WGHH

GitHub · GitHub · GHSA-9PWQ-GCRX-WGHH

ID
GHSA-9PWQ-GCRX-WGHH

Datum
2026-08-28

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
5.9

EPSS
0.00193

Zusammenfassung

A soundness bug in `buffa`'s `OwnedView<V>` allowed safe Rust code to trigger a use-after-free. The `OwnedView::decode` constructor transmuted a borrowed slice to `&'static [u8]`, and the `Deref` implementation exposed the promoted `'static` lifetime on borrowed view fields (such as `&'static str` and `&'static [u8]`) to callers. Because these references appeared to be `'static`, the borrow checker permitted them…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-08-28

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 5.9 von 10.
Gemeldeter EPSS-Wert: 0.00193.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: rust: buffa.

Produkt

rust: buffa

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-9PWQ-GCRX-WGHH
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-08-28
Letzte Quellenaktivität: 2026-08-28
Weitere Kennungen: CVE-2026-55406
Kuratiert von: hlukh.ch