🥇 zlib-এ দুর্বলতা, বিশেষভাবে ডিজাইন করা ডেটা সংকুচিত করার সময় প্রকাশ পায়

zlib লাইব্রেরিতে একটি দুর্বলতা (CVE-2018-25032) চিহ্নিত করা হয়েছে, যা ইনকামিং ডেটাতে অক্ষরগুলির একটি বিশেষভাবে প্রস্তুত ক্রম সংকুচিত করার চেষ্টা করার সময় একটি বাফার ওভারফ্লোতে নেতৃত্ব দেয়। তার বর্তমান আকারে, গবেষকরা অস্বাভাবিকভাবে একটি প্রক্রিয়া বন্ধ করার ক্ষমতা প্রদর্শন করেছেন। সমস্যাটি আরও গুরুতর পরিণতি হতে পারে কিনা তা এখনও অধ্যয়ন করা হয়নি।

দুর্বলতা zlib 1.2.2.2 সংস্করণ থেকে শুরু হয় এবং zlib 1.2.11 এর বর্তমান প্রকাশকেও প্রভাবিত করে। এটি লক্ষণীয় যে দুর্বলতা সংশোধন করার জন্য একটি প্যাচ 2018 সালে প্রস্তাব করা হয়েছিল, কিন্তু বিকাশকারীরা এতে মনোযোগ দেয়নি এবং একটি সংশোধনমূলক রিলিজ প্রকাশ করেনি (zlib লাইব্রেরিটি 2017 সালে সর্বশেষ আপডেট হয়েছিল)। ডিস্ট্রিবিউশনের প্রস্তাবিত প্যাকেজগুলিতে ফিক্সটি এখনও অন্তর্ভুক্ত করা হয়নি। আপনি এই পৃষ্ঠাগুলিতে বিতরণের মাধ্যমে সংশোধনগুলির প্রকাশনা ট্র্যাক করতে পারেন: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD। zlib-ng লাইব্রেরি সমস্যা দ্বারা প্রভাবিত হয় না.

দুর্বলতা দেখা দেয় যদি ইনপুট স্ট্রীমে প্যাক করার জন্য প্রচুর সংখ্যক ম্যাচ থাকে, যেখানে ফিক্সড হাফম্যান কোডের উপর ভিত্তি করে প্যাকিং প্রয়োগ করা হয়। নির্দিষ্ট পরিস্থিতিতে, মধ্যবর্তী বাফারের বিষয়বস্তু যেখানে সংকুচিত ফলাফলটি স্থাপন করা হয় তা মেমরিকে ওভারল্যাপ করতে পারে যেখানে প্রতীক ফ্রিকোয়েন্সি টেবিলটি সংরক্ষণ করা হয়। ফলস্বরূপ, ভুল সংকুচিত ডেটা তৈরি হয় এবং বাফার সীমানার বাইরে লেখার কারণে ক্র্যাশ হয়।

দুর্বলতা শুধুমাত্র নির্দিষ্ট হাফম্যান কোডের উপর ভিত্তি করে একটি কম্প্রেশন কৌশল ব্যবহার করে শোষণ করা যেতে পারে। একটি অনুরূপ কৌশল বেছে নেওয়া হয় যখন Z_FIXED বিকল্পটি কোডে স্পষ্টভাবে সক্রিয় করা হয় (Z_FIXED বিকল্পটি ব্যবহার করার সময় একটি ক্র্যাশের দিকে নিয়ে যাওয়া একটি অনুক্রমের উদাহরণ)। কোড দ্বারা বিচার করে, Z_FIXED কৌশলটি স্বয়ংক্রিয়ভাবে নির্বাচন করা যেতে পারে যদি ডেটার জন্য গণনা করা সর্বোত্তম এবং স্ট্যাটিক ট্রিগুলির আকার একই থাকে।

ডিফল্ট Z_DEFAULT_STRATEGY কম্প্রেশন কৌশল ব্যবহার করে দুর্বলতাকে কাজে লাগানোর শর্তগুলি নির্বাচন করা যেতে পারে কিনা তা এখনও স্পষ্ট নয়। যদি না হয়, তাহলে দুর্বলতা নির্দিষ্ট নির্দিষ্ট সিস্টেমের মধ্যে সীমাবদ্ধ থাকবে যা স্পষ্টভাবে Z_FIXED বিকল্পটি ব্যবহার করে। যদি তাই হয়, তাহলে দুর্বলতা থেকে ক্ষয়ক্ষতি খুবই তাৎপর্যপূর্ণ হতে পারে, যেহেতু zlib লাইব্রেরি একটি ডি ফ্যাক্টো স্ট্যান্ডার্ড এবং লিনাক্স কার্নেল, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg সহ অনেক জনপ্রিয় প্রকল্পে ব্যবহৃত হয়। , rpm, Git , PostgreSQL, MySQL, ইত্যাদি।

উত্স: opennet.ru

zlib-এ দুর্বলতা যা বিশেষভাবে ডিজাইন করা ডেটা সংকুচিত করার সময় ঘটে

একটি মন্তব্য জুড়ুন উত্তর বাতিল