I den baggrundsproces slaacd, som i OpenBSD håndterer automatisk konfiguration af IPv6 adresser (IPv6 Stateless Address Autoconfiguration, RFC 4862), er der opdaget en sårbarhed, der fører til bufferoverløb ved modtagelse af en specielt udformet IPv6-router annonce (RA, Router Advertisement).
Oprindeligt blev funktionaliteten til automatisk konfiguration af IPv6 adresser implementeret på kernel-niveau, men fra OpenBSD 6.2 blev den flyttet til en separat upprivilegeret proces slaacd. Denne proces er ansvarlig for at sende RS (Router Solicitation) beskeder og analysere RA (Router Advertisement) svar med information om routere og netværksforbindelsesparametre.
I februar blev der rettet en fejl i slaacd, der førte til nedbrud ved angivelse af 7 servere i RDNSS (Recursive DNS Servers) listen. En sådan fejl fangede opmærksomheden hos uafhængige forskere, der forsøgte at gennemgå koden i slaacd for at finde andre fejl, der opstod ved analyse af felter i RA beskeder. Analysen viste, at der var et andet problem i koden, der opstår ved behandling af DNSSL (DNS Search List) feltet, som inkluderer lister domenenavne og skabeloner til værter for DNS.
Hvert navn i DNSSL listen kodes med en nul-kodet separator og mellemliggende et-byte etiketter, der angiver størrelsen af de efterfølgende data. Sårbarheden opstår, fordi størrelsesfeltet i koden kopieres til en signed integer variabel ("len = data[pos]"). Det vil sige, at hvis der angives en værdi i feltet med det højeste bit sat, vil denne værdi blive opfattet som et negativt tal i den betingede operator, og kontrollen for maksimal tilladt størrelse ("if (len > 63 || len + pos + 1 > datalen) {") vil ikke fungere, hvilket fører til et memcpy kald med en parameter, hvor den kopierede datastørrelse overskrider bufferstørrelsen.
Kilde: opennet.ru
