Fond OSTIF (Open Source Technology Improvement Fund), který byl vytvořen za účelem zvýšení bezpečnosti open source projektů, zveřejnil výsledky auditu bezpečnosti knihoven Boost, které se používají v mnoha projektech napsaných v jazyce C++. Audit, který byl proveden na objednávku OSTIF a Amazon Web Services italskou společností Shielder, odhalil 7 problémů, z nichž jeden byl klasifikován jako středně závažný, čtyři jako nízké a dvě problémy byly publikovány jako informační poznámky.
Knihovny, které byly zkoumány v rámci auditu:
- Boost.Beast
- Boost.DLL
- Boost.Date_Time
- Boost.Filesystem
- Boost.GIL
- Boost.Graph
- Boost.JSON
- Boost.Program_Options
- Boost.Regex
- Boost.String_Algo
- Boost.URL
- Boost.UUID
Identifikované problémy:
- Zranitelnost v Boost.Beast, která umožňuje vkládání znaků návratu vozíku a nového řádku (CRLF) do HTTP hlaviček (může být využita k rozdělení hlaviček). Problému byla přidělena střední úroveň závažnosti.
- Přetečení zásobníku v knihovně Boost.Regex při rekurzivním provádění operací s více elementy end_line v regulárním výrazu.
- Přetečení zásobníku v knihovně Boost.Regex při rekurzivním provádění operací s více skupinami zachycení a sjednocením.
- Přetečení zásobníku v knihovně Boost.Regex při rekurzivním provádění operací s více otevřenými kulatými závorkami ve formátovacím řetězci.
- Přetečení zásobníku v knihovně Boost.Graph při rekurzivním provádění operací s více vnořenými grafy.
- Přerušení v funkci breadth_first_search z knihovny Boost.Graph.
- Nezachycené výjimky v Boost.DLL.
Na základě informací získaných během auditu tým vývojářů Boost již odstranil 4 problémy a provedl 15 vylepšení pro rozšíření pokrytí kódu a funkcí při provádění fuzzing testování. Problém s dělením hlaviček v Boost.Beast zatím opraven nebyl a informační doporučení nebyla zohledněna.
Zdroj: opennet.ru
