Анализът на сигурността на пакета BusyBox разкри 14 незначителни уязвимости

Изследователи от компаниите Claroty и JFrog публикуваха резултатите от одита на сигурността на пакета BusyBox, широко използван в вградени устройства и предлагащ набор от стандартни UNIX утилити, оформени в единен изпълним файл. По време на проверката бяха открити 14 уязвимости, които вече са отстранени в августовското издание на BusyBox 1.34. Почти всички проблеми са неопасни и съмнителни от гледна точка на приложение в реални атаки, тъй като изискват стартиране на утилити с аргументи, получени извънредно.

Отделно се откроява уязвимостта CVE-2021-42374, която позволява да се предизвика отказ на обслужване при обработка на специално оформен компресиран файл от утилитата unlzma, а в случай на компилация с опция CONFIG_FEATURE_SEAMLESS_LZMA, също и от всякакви други компоненти на BusyBox, включително tar, unzip, rpm, dpkg, lzma и man.

Уязвимостите CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 и CVE-2021-42377 позволяват предизвикване на отказ на обслужване, но изискват стартиране на утилити man, ash и hush с параметри, зададени от атакуващия. Уязвимостите от CVE-2021-42378 до CVE-2021-42386 засягат утилитата awk и потенциално могат да доведат до изпълнение на код, но за това атакуващият трябва да постигне изпълнение в awk на определен шаблон (необходимо е да се стартира awk с предаване в първия аргумент на командния ред на данни, получени от атакуващия).

Също така е необходимо да се отбележи уязвимостта (CVE-2021-43523) в библиотеките uclibc и uclibc-ng, свързана с това, че при извикване на функциите gethostbyname(), getaddrinfo(), gethostbyaddr() и getnameinfo() не се извършва проверка и почистване на домейна, върнат от DNS сървъра. Например, в отговор на определена заявка за резолвиране, контролираният от вредител DNS сървър може да върне хостове с вида ".attacker.com" и те ще бъдат върнати в неизменен вид на програма, която без почистване може да ги покаже в уеб интерфейса. Проблемът е отстранен в версията uclibc-ng 1.0.39 чрез добавяне на код за проверка на коректността на върнатите. домейни имена, реализиран по аналогия с Glibc.

Източник: opennet.ru