Falhas do tipo CWE-909

15 resultados

Recurso não inicializado

Ocorre quando um recurso (memória, arquivo, conexão, etc.) é alocado mas não é devidamente inicializado antes de ser usado, deixando-o em estado indefinido. O código assume que o recurso está pronto, mas pode conter lixo de memória anterior ou estar corrompido, levando a comportamentos imprevisíveis, travamentos ou exploração de segurança.

Exemplo

Um buffer é alocado dinamicamente mas não é zerado; o programa depois lê valores dele esperando encontrar dados válidos, mas encontra lixo da memória anterior. Ou uma estrutura é criada sem que seus ponteiros sejam definidos como NULL, causando desreferência para endereços aleatórios.

Como mitigar

Sempre inicialize explicitamente todo recurso alocado — use memset() ou equivalente para limpar memória, defina ponteiros a NULL, chame construtores/inicializadores. Em linguagens modernas (Rust, Go), prefira garantias do compilador. Code review focado em alocação-e-inicialização ajuda a identificar o padrão.

CVE-2019-3804HIGHIt was found that cockpit before version 184 used glib's base64 decode functionality incorrectly resulting in a denial of service attack. AnEPSS 4.9%CVE-2021-28167—In Eclipse Openj9 to version 0.25.0, usage of the jdk.internal.reflect.ConstantPool API causes the JVM in some cases to pre-resolve certain EPSS 1.1%CVE-2020-12523MEDIUMPhoenix Contact mGuard Devices versions before 8.8.3: LAN ports get functional after reboot even if they are disabled in the device configurationEPSS 0.9%CVE-2024-8178CRITICALMultiple issues in ctl(4) CAM Target LayerEPSS 0.6%CVE-2024-53845MEDIUMAES/CBC Constant IV Vulnerability in ESPTouch v2EPSS 0.6%CVE-2022-0382—An information leak flaw was found due to uninitialized memory in the Linux kernel's TIPC protocol subsystem, in the way a user sends a TIPCEPSS 0.4%CVE-2026-40687MEDIUMIn Exim before 4.99.2, when the SPA authentication driver is used with an adversarial SPA resource, there can be an out-of-bounds write thatEPSS 0.4%CVE-2024-27913MEDIUMospf_te_parse_te in ospfd/ospf_te.c in FRRouting (FRR) through 9.1 allows remote attackers to cause a denial of service (ospfd daemon crash)EPSS 0.3%CVE-2022-0175—A flaw was found in the VirGL virtual OpenGL renderer (virglrenderer). The virgl did not properly initialize memory when allocating a host-bEPSS 0.3%CVE-2021-3655—A vulnerability was found in the Linux kernel in versions prior to v5.14-rc1. Missing size validations on inbound SCTP packets may allow theEPSS 0.3%CVE-2025-8117HIGHAccount Takeover via Reset Password Functionality in PAD CMSEPSS 0.3%CVE-2024-32945LOWLaTeX post content manipulation via renderer state leak across contextsEPSS 0.2%CVE-2025-54388MEDIUMMoby's Firewalld reload makes published container ports accessible from remote hostsEPSS 0.2%CVE-2024-52870HIGHTeradata Vantage Editor 1.0.1 is mostly intended for SQL database access and docs.teradata.com access, but provides unintended functionalityEPSS 0.2%CVE-2025-54410LOWMoby's Firewalld reload removes bridge network isolationEPSS 0.2%