Изследователи от компаниите Claroty и JFrog публикуваха резултатите от одита на сигурността на пакет BusyBox, широко използван в вградени устройства и предлагаше набор от стандартни UNIX утилити, оформени като един изпълним файл. В хода на проверката бяха установени 14 уязвимости, които вече са отстранени в августовския ъпдейт на BusyBox 1.34. Почти всички проблеми не са опасни и са съмнителни по отношение на прилагане в реални атаки, тъй като изискват стартиране на утилити с аргументи, получени извън.
По-специално се отк突ка уязвимостта CVE-2021-42374, която позволява предизвикване на отказ на услуга при обработка на специално оформен компресиран файл от утилитата unlzma, а в случай на компилация с опции CONFIG_FEATURE_SEAMLESS_LZMA, също и с други компоненти на BusyBox, включително tar, unzip, rpm, dpkg, lzma и man.
Уязвимостите CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 и CVE-2021-42377 позволяват предизвикване на отказ на услуга, но изискват стартиране на утилити man, ash и hush с параметри, зададени от атакуващия. Уязвимостите с CVE-2021-42378 до CVE-2021-42386 засягат утилитата awk и потенциално могат да доведат до изпълнение на код, но за това атакуващият трябва да постигне изпълнение в awk на определен шаблон (необходимо е да се стартира awk с предаване на първия аргумент на команден ред данни, получени от атакуващия).
Допълнително може да се отбележи уязвимост (CVE-2021-43523) в библиотеките uclibc и uclibc-ng, свързана с факта, че при извикване на функциите gethostbyname(), getaddrinfo(), gethostbyaddr() и getnameinfo() не се извършва проверка и почистване на домейн името, върнато от DNS сървъра. Например, в отговор на определено запитване за резолвиране, под контрол на злоумышленик DNS сървър може да върне хостове от вида ".attacker.com" и те ще бъдат върнати в необработен вид на някоя програма, която без почистване може да ги изобрази в уеб интерфейса. Проблемът е отстранен в изданието uclibc-ng 1.0.39 чрез добавяне на код за проверка на валидността на върнатите домейн имена, реализиран аналогично на Glibc.
Източник: opennet.ru
