Výzkumníci ze společností Claroty a JFrog zveřejnili výsledky auditu bezpečnosti balíčku BusyBox, široce používaného na vestavěných zařízeních, který nabízí sadu standardních UNIXových utilit, zformovaných jako jediný spustitelný soubor. Během kontroly bylo odhaleno 14 zranitelností, které byly již odstraněny v srpnovém vydání BusyBox 1.34. Téměř všechny problémy jsou neškodné a otázky jejich využití v reálných útocích jsou sporné, protože vyžadují spuštění utilit s externě získanými argumenty.
Zvlášť je vyzdvihnuta zranitelnost CVE-2021-42374, která umožňuje způsobit odmítnutí služby při zpracování speciálně formátovaného komprimovaného souboru utilitou unlzma, a v případě sestavení s volbami CONFIG_FEATURE_SEAMLESS_LZMA také jakýmikoli jinými komponenty BusyBox, včetně tar, unzip, rpm, dpkg, lzma a man.
Zranitelnosti CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 a CVE-2021-42377 umožňují způsobit odmítnutí služby, ale vyžadují spuštění utilit man, ash a hush s parametry, které zadává útočník. Zranitelnosti od CVE-2021-42378 po CVE-2021-42386 se týkají utility awk a potenciálně mohou vést k spuštění kódu, ale pro to musí útočník dosáhnout vykonání v awk určitého vzoru (je nutné spustit awk s předáním dat získaných od útočníka jako prvního argumentu příkazového řádku).
Dále lze také zmínit zranitelnost (CVE-2021-43523) v knihovnách uclibc a uclibc-ng, související s tím, že při volání funkcí gethostbyname(), getaddrinfo(), gethostbyaddr() a getnameinfo() není prováděna kontrola a úklid doménového jména, které vrací DNS server. Například jako odpověď na specifický dotaz na rozlišení může útočníkem řízený DNS server vrátit hosty ve tvaru ".attacker.com" a ty budou vráceny nějakému programu v nezměněné podobě, který bez úklidu může tyto hosty zobrazit ve svém webovém rozhraní. Problém byl vyřešen ve vydání uclibc-ng 1.0.39 přidáním kódu pro kontrolu správnosti vracených dat. doménových jmen, realizovaném podle vzoru Glibc.
Zdroj: opennet.ru
