{"id":103636,"date":"2022-03-27T15:36:39","date_gmt":"2022-03-27T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh"},"modified":"2022-03-27T15:36:39","modified_gmt":"2022-03-27T13:36:39","slug":"uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-zlib-proyavlyayushhayasya-pri-szhatii-speczialno-oformlennyh-dannyh","title":{"rendered":"S\u00e5rbarhed i zlib, der opst\u00e5r ved komprimering af specielt formaterede data","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I zlib-biblioteket er der identificeret en s\u00e5rbarhed (CVE-2018-25032), der f\u00f8rer til buffer-overl\u00f8b, n\u00e5r der fors\u00f8ges at komprimere en specielt udarbejdet sekvens af tegn i de indkomne data. Forskere har demonsteret, at det nuv\u00e6rende problem kan f\u00f8re til en uventet afslutning af processen. Det er endnu ikke blevet unders\u00f8gt, om problemet kan have mere alvorlige konsekvenser. <\/p>\n
S\u00e5rbarheden opst\u00e5r fra version zlib 1.2.2.2 og p\u00e5virker ogs\u00e5 den nuv\u00e6rende udgave zlib 1.2.11. Bem\u00e6rk, at en patch til at rette s\u00e5rbarheden blev foresl\u00e5et allerede i 2018, men udviklerne har ikke taget det til efterretning og har ikke udgivet en korrekturl\u00e6sning (zlib-biblioteket er sidst opdateret i 2017). Rettelsen er heller ikke blevet inkluderet i de pakker, der tilbydes af distributionerne. Du kan holde \u00f8je med offentligg\u00f8relser af rettelserne fra distributionerne p\u00e5 f\u00f8lgende sider: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD. zlib-ng-biblioteket er ikke udsat for problemet. <\/p>\n
S\u00e5rbarheden opst\u00e5r, hvis der i den indkommende str\u00f8m er mange genkendelige m\u00f8nstre, der skal pakkes, og der anvendes pakning baseret p\u00e5 faste Huffman-koder. Under bestemte omst\u00e6ndigheder kan indholdet af den mellemliggende buffer, hvori den komprimerede output placeres, overlappe med det hukommelsesomr\u00e5de, hvor symbolfrekvenstabellen opbevares. Dette resulterer i dannelse af ugyldige komprimerede data og en fejl, der opst\u00e5r ved at skrive uden for bufferen. <\/p>\n
S\u00e5rbarheden kan kun udnyttes ved brug af en komprimeringsstrategi baseret p\u00e5 faste Huffman-koder. En s\u00e5dan strategi v\u00e6lges, n\u00e5r indstillingen Z_FIXED eksplicit aktiveres i koden (eksempel p\u00e5 en sekvens, der f\u00f8rer til fejl ved brug af indstillingen Z_FIXED). If\u00f8lge koden kan strategien Z_FIXED ogs\u00e5 v\u00e6lges automatisk, hvis de beregnede optimale og statiske tr\u00e6er for dataene har samme st\u00f8rrelse. <\/p>\n
Det er stadig uklart, om der kan findes betingelser for udnyttelse af s\u00e5rbarheden ved brug af kompressionsstrategien Z_DEFAULT_STRATEGY, som anvendes som standard. Hvis ikke, vil s\u00e5rbarheden v\u00e6re begr\u00e6nset til specifikke systemer, hvor indstillingen Z_FIXED eksplicit anvendes. Hvis ja, kan skaden fra s\u00e5rbarheden v\u00e6re meget betydelig, da zlib-biblioteket er de facto standard og anvendes i mange popul\u00e6re projekter, herunder Linux-kernen, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg, rpm, Git, PostgreSQL, MySQL osv. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"