Резултати от одита за сигурност на библиотеките Boost

Фонд OSTIF (Open Source Technology Improvement Fund), созданный с целью усиления защищённости открытых проектов, опубликовал результаты аудита безопасности библиотек Boost, применяемых во многих проектах на языке C++. Аудит, который был проведён по заказу OSTIF и Amazon Web Services итальянской компанией Shielder, выявил 7 проблем, из которых одной присвоен средний уровень опасности, а четырём — низкий, две проблемы опубликованы в виде информационных замечаний.

Проучените по време на одита библиотеки:

• Boost.Beast
• Boost.DLL
• Boost.Date_Time
• Boost.Filesystem
• Boost.GIL
• Boost.Graph
• Boost.JSON
• Boost.Program_Options
• Boost.Regex
• Boost.String_Algo
• Boost.URL
• Уязвимост в Boost.Beast, допускаща подмяна на символи за връщане на каретката и нов ред (CRLF) в HTTP заглавията (може да се използва за разделяне на заглавията). На проблема е присвоено умерено ниво на опасност.

Идентифицированные проблемы:

• Препълване на стека в библиотеката Boost.Regex при рекурсивно изпълнение на операции с няколко елемента end_line в регулярното изразяване.
• Препълване на стека в библиотеката Boost.Regex при рекурсивно изпълнение на операции с няколко групи за улавяне и обединяване.
• Препълване на стека в библиотеката Boost.Regex при рекурсивно изпълнение на операции с няколко отворени кръгли скобки в низ за форматиране.
• Препълване на стека в библиотеката Boost.Graph при рекурсивно изпълнение на операции с няколко вложени графа.
• Assert-сработка в функцията breadth_first_search от библиотеката Boost.Graph.
• Необработени изключения в Boost.DLL.
• На основание на получената информация от одита, екипът на разработчиците на Boost вече е отстранил 4 проблема и е внесъл 15 подобрения за разширяване на обхвата на кода и функциите при провеждане на тестове с fuzzing. Все още не е решен проблемът с разделянето на заглавията в Boost.Beast и не са взети предвид информационните препоръки.

На основание на получената информация от одита, екипът на разработчиците на Boost вече е отстранил 4 проблема и е внесъл 15 подобрения за разширяване на обхвата на кода и функциите при провеждане на fuzzing тестове. Проблемът със разделянето на заглавията в Boost.Beast все още не е отстранен, а информационните препоръки не са взети предвид.

Източник: opennet.ru