Forskere fra virksomhederne Claroty og JFrog har offentliggjort resultaterne af sikkerhedsauditet af BusyBox-pakken, der er bredt anvendt i indlejrede enheder og tilbyder et sæt standard UNIX-værktøjer samlet i en enkelt eksekverbar fil. Under gennemgangen blev der identificeret 14 sårbarheder, som allerede er blevet rettet i augustudgaven af BusyBox 1.34. Næsten alle problemer er ufarlige og tvivlsomme i forhold til deres anvendelse i reelle angreb, da de kræver kørsel af værktøjer med modtagne argumenter udefra.
En specifik sårbarhed, CVE-2021-42374, skiller sig ud, da den muliggør tjenestenægtelse ved behandling af en specielt formateret komprimeret fil med værktøjet unlzma; hvis der er bygget med indstillingen CONFIG_FEATURE_SEAMLESS_LZMA, også via andre BusyBox-komponenter, inklusiv tar, unzip, rpm, dpkg, lzma og man.
Sårbarhederne CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 og CVE-2021-42377 tillader tjenestenægtelse, men kræver, at værktøjerne man, ash og hush køres med parametre angivet af angriberen. Sårbarhederne fra CVE-2021-42378 til CVE-2021-42386 berører awk-værktøjet og kan potentielt føre til eksekvering af kode, men for dette skal angriberen opnå, at en bestemt skabelon udføres i awk (det er nødvendigt at køre awk med data modtaget fra angriberen som den første argument på kommandolinjen).
Derudover kan sårbarhed (CVE-2021-43523) i bibliotekerne uclibc og uclibc-ng også nævnes, relateret til det faktum, at der ved tilgang til funktionerne gethostbyname(), getaddrinfo(), gethostbyaddr() og getnameinfo() ikke udføres kontrol og oprydning af det domænenavn, der returneres af DNS-serveren. For eksempel kan en angriber-kontrolleret DNS-server returnere værter såsom ".attacker.com" som svar på bestemte opløsningsanmodninger, og de vil blive returneret uændret til et program, der uden oprydning kan vise dem i webinterfacet. Problemet er blevet løst i uclibc-ng 1.0.39 ved at tilføje kode til at validere korrektheden af de returnerede data. domenenavne, implementeret efter mønster fra Glibc.
Kilde: opennet.ru
