Резултати от одита на сигурността на библиотеките Boost

Фонд OSTIF (Фонд улучшения технологий с открытым исходным кодом), основанный для повышения защиты открытых проектов, опубликовал результаты аудита безопасности библиотек Boost, используемых во множестве проектов на C++. Аудит, проведённый по заказу OSTIF и Amazon Web Services итальянской компанией Shielder, выявил 7 проблем, одна из которых имеет средний уровень опасности, а четыре — низкий, две проблемы представлены в виде информационных заметок.

Исследованные в ходе аудита библиотеки:

• Boost.Beast
• Boost.DLL
• Boost.Date_Time
• Boost.Filesystem
• Boost.GIL
• Boost.Graph
• Boost.JSON
• Boost.Program_Options
• Boost.Regex
• Boost.String_Algo
• Boost.URL
• Boost.UUID

Открити проблеми:

• Уязвимость в Boost.Beast, допускающая подстановку символов возврата каретки и перевода строки (CRLF) в HTTP-заголовки (может использоваться для расщепления заголовков). Проблеме присвоен средний уровень опасности.
• Переполнение стека в библиотеке Boost.Regex при рекурсивном выполнении операций с несколькими элементами end_line в регулярном выражении.
• Переполнение стека в библиотеке Boost.Regex при рекурсивном выполнении операций с несколькими группами захвата и объединения.
• Переполнение стека в библиотеке Boost.Regex при рекурсивном выполнении операций с несколькими открытыми круглыми скобками в строке форматирования.
• Переполнение стека в библиотеке Boost.Graph при рекурсивном выполнении операций с несколькими вложенными графами.
• Срабатывание assert в функции breadth_first_search из библиотеки Boost.Graph.
• Необработанные исключения в Boost.DLL.

На основании информации, полученной в ходе аудита, команда разработчиков Boost уже устранила 4 проблемы и внесла 15 улучшений для увеличения охвата кода и функций при проведении fuzzing-тестирования. Проблема с расщеплением заголовков в Boost.Beast всё ещё не исправлена, и рекомендации остались без внимания.

Източник: opennet.ru