🥇Критична уязвимост в реализацията на функцията memcpy за ARMv7 от Glibc

Изследователите по киберсигурност от компания Cisco разкриха детайли уязвимости (CVE-2020-6096) в реализация на предоставената в Glibc функция memcpy() за 32-битова платформа ARMv7. Проблемата е причинена от некоректна обработка на отрицателни стойности на параметъра, определящ размера на копираната област, поради използване на асемблерни оптимизации, манипулиращи знаковите 32-битови цели числа. Извикването на memcpy() на системи ARMv7 с отрицателен размер води до некоректно сравняване на стойностите и запис в области извън границите на указаната буфер.

Уязвимостта може да бъде експлоатирана за изпълнение на код в ситуация, когато атакуващият може да организира формирането на отрицателна стойност на променливата, през която се предава размера на копираните данни (например, отрицателна стойност ще се получи при предаване на повече от 2 ГБ данни, но в процеса на атака за излизане извън границите на буфера трябва да се предаде най-малко 4 ГБ). Функцията memcpy() активно се използва в приложения, а ARMv7 процесорите са разпространени в автомобилни системи, мобилни, индустриални, потребителски, комуникационни и вградени устройства, които потенциално могат да станат обекти на атаки, използващи Bluetooth, HD Radio/DAB, USB, CAN шина, Wi-Fi и други външни източници на данни (например, могат да бъдат атакувани достъпни в мрежата услуги и приложения, приемащи входни данни без ограничения на размера).

Като пример се дава създаването на работещ експлоит за атака на вграден в автомобилните информационни системи http-сервер, достъпен чрез автомобилната Wi-Fi мрежа. Неоторизиран атакуващ може да експлоатира уязвимостта в memcpy на този сървър чрез предаване на GET-заявка с много голям размер и да получи root-достъп до системата.

Критична уязвимост в реализацията на функцията memcpy за ARMv7 от Glibc

На 32-битови системи x86 проблема не се проявява, тъй като реализацията на memcpy за тази архитектура коректно интерпретира променливата с размера като беззнаково цяло число от тип size_t (в написаната на асемблере реализация за ARMv7 вместо size_t то се обработва като знаково цяло число). Поправката е налична в момента под формата на пач, която ще влезе в състава на августовското обновление Glibc 2.32.
Поправката се състои в замяна на използването на асемблерни инструкции, опериращи със знакови операнди (bge и blt), с беззнакови аналози (blo и bhs).

Проблемът все още не е разрешен в Debian 9 и 10 (в Debian 8 не се проявява), Fedora, Ubuntu, OpenEmbedded, Tizen (използва glibc). RHEL и SUSE проблемът не засяга, тъй като те не поддържат 32-битови системи ARMv7. Android не е подложен на уязвимост, тъй като използва собствена реализация на libc (Bionic). В OpenWRT по подразбиране в повечето сборки се използва Musl, но в репозиторията има и glibc.

Източник: opennet.ru