በመደበኛው C ላይብረሪዎች uClibc እና uClibc-ng፣ በብዙ የተከተቱ እና ተንቀሳቃሽ መሳሪያዎች ውስጥ ጥቅም ላይ የሚውለው፣ የተጋላጭነት ሁኔታ ተለይቷል (CVE አልተመደበም) ምናባዊ ውሂብ ወደ ዲ ኤን ኤስ መሸጎጫ ውስጥ እንዲገባ የሚያደርግ፣ ይህም የአይፒ አድራሻውን ለመተካት ሊያገለግል ይችላል። በመሸጎጫው ውስጥ ያለ የዘፈቀደ ጎራ እና ጥያቄዎችን በአጥቂው አገልጋይ ላይ ወዳለው ጎራ ያዛውሩ።
ጉዳዩ የተለያዩ የሊኑክስ ፈርምዌሮችን ለራውተሮች፣ የመዳረሻ ነጥቦች እና የነገሮች በይነመረብ መሳሪያዎች፣ እንዲሁም እንደ OpenWRT እና Embedded Gentoo ያሉ የተከተቱ የሊኑክስ ስርጭቶችን ይነካል። ተጋላጭነቱ ከብዙ አምራቾች (ለምሳሌ uClibc በ Linksys ፣ Netgear እና Axis firmware) ላይ እንደሚታይ ተጠቁሟል፣ ነገር ግን ተጋላጭነቱ በ uClibc እና uClibc-ng ውስጥ ስላልተስተካከለ ስለተወሰኑ መሳሪያዎች እና ምርቶቻቸው አምራቾች ዝርዝር መረጃ ችግሩ አለ እስካሁን አልተገለጸም።
ተጋላጭነቱ የዲኤንኤስ መጠይቆችን ለመላክ በኮዱ ውስጥ ሊገመቱ የሚችሉ የግብይት መለያዎችን በመጠቀም ነው። የዲ ኤን ኤስ ጥያቄ መለያ ቁጥር ተጨማሪ የወደብ ቁጥሮችን በዘፈቀደ ሳይጠቀሙ ቆጣሪውን በመጨመር ብቻ የተመረጠ ነው ፣ ይህም የዲ ኤን ኤስ መሸጎጫውን አስቀድሞ የ UDP ፓኬቶችን በልብ ወለድ ምላሾች በመላክ ለመመረዝ አስችሎታል (ምላሹ ከዚህ በፊት ከደረሰ ተቀባይነት ይኖረዋል) ከእውነተኛው አገልጋይ የተሰጠው ምላሽ እና ትክክለኛውን መታወቂያ ያካትታል). እ.ኤ.አ. በ 2008 ከቀረበው የካሚንስኪ ዘዴ በተቃራኒ የግብይት መለያው መገመት እንኳን አያስፈልገውም ፣ ምክንያቱም መጀመሪያ ላይ ሊተነበይ የሚችል (እሴቱ መጀመሪያ ላይ ወደ 1 ተቀናብሯል ፣ ይህም በዘፈቀደ ከተመረጠው ይልቅ በእያንዳንዱ ጥያቄ ይጨምራል)።
ከመለየት ጨካኝ ኃይል ለመከላከል፣ መግለጫው የዲ ኤን ኤስ ጥያቄዎች የሚላኩባቸውን የምንጭ አውታረ መረብ ወደቦች በዘፈቀደ ማከፋፈያ መጠቀምን ይመክራል፣ ይህም በቂ ያልሆነ ትልቅ የመለያ መጠን ይካሳል። ምናባዊ ምላሽ እንዲያመነጭ ወደብ randomization ስታነቃ፣ ባለ 16 ቢት መለያ ከመምረጥ በተጨማሪ የኔትወርክ ወደብ ቁጥር መምረጥ አለብህ። በ uClibc እና uClibc-ng ውስጥ፣ እንደዚህ አይነት ራንደምራይዜሽን በግልፅ አልነቃም (ቢንድን ሲጠራ፣ የዘፈቀደ ምንጭ UDP ወደብ አልተገለጸም) እና አጠቃቀሙ በስርዓተ ክወናው መቼቶች ላይ የተመሰረተ ነው።
ማሰሮ በዘፈቀደ ማድረግ ሲሰናከል፣ የጨመረውን የጥያቄ መታወቂያ መወሰን እንደ ተራ ተግባር ምልክት ተደርጎበታል። ነገር ግን በዘፈቀደ ጥቅም ላይ የዋለ ቢሆንም፣ አጥቂው የኔትወርክ ወደቡን ከ 32768-60999 ክልል መገመት ብቻ ነው የሚያስፈልገው፣ ለዚህም በአንድ ጊዜ ከፍተኛ የሆነ ምናባዊ ምላሾችን ለተለያዩ የአውታረ መረብ ወደቦች መላክ ይችላሉ።
በጣም የቅርብ ጊዜዎቹን የ uClibc 0.9.33.2 እና uClibc-ng 1.0.40 ስሪቶችን ጨምሮ በሁሉም ወቅታዊ የ uClibc እና uClibc-ng ልቀቶች ላይ ችግሩ ተረጋግጧል። በሴፕቴምበር 2021፣ ለተጋላጭነቱ መረጃ ለተቀናጀ ጥገናዎች ወደ CERT/CC ተልኳል። በጃንዋሪ 2022፣ በችግሩ ላይ ያለው መረጃ ከ CERT/CC ጋር ለሚተባበሩ ከ200 በላይ አምራቾች ተጋርቷል። በማርች ወር የ uClibc-ng ፕሮጀክት ተቆጣጣሪን በተናጥል ለማነጋገር ሙከራ ነበረ፣ ነገር ግን ተጋላጭነቱን በራሱ ማስተካከል አለመቻሉን መለሰ እና ስለችግሩ መረጃ በይፋ እንዲሰጥ መክሯል፣ በማዳበር ረገድ እገዛ እንደሚደረግለት ተስፋ በማድረግ። ከማህበረሰቡ ማስተካከል. ከአምራቾቹ መካከል NETGEAR ተጋላጭነትን የሚያስወግድ ዝመናን መውጣቱን አስታውቋል።
ምንጭ: opennet.ru