Forscher von Claroty und JFrog haben die Ergebnisse eines Sicherheitsaudits des BusyBox-Pakets ver\u00f6ffentlicht, das weit verbreitet in eingebetteten Ger\u00e4ten genutzt wird und eine Reihe standardm\u00e4\u00dfiger UNIX-Dienstprogramme in einer einzigen ausf\u00fchrbaren Datei anbietet. Im Rahmen der Pr\u00fcfung wurden 14 Schwachstellen entdeckt, die bereits im August-Release von BusyBox 1.34 behoben wurden. Nahezu alle Probleme sind harmlos und fragw\u00fcrdig im Hinblick auf ihren Einsatz in realen Angriffen, da sie die Ausf\u00fchrung von Dienstprogrammen mit extern \u00fcbergebenen Argumenten erfordern. <\/p>\n
Besonders hervorzuheben ist die Schwachstelle CVE-2021-42374, die einen Denial-of-Service-Angriff bei der Verarbeitung einer speziell gestalteten komprimierten Datei durch das Dienstprogramm unlzma erm\u00f6glicht; im Fall einer Konfiguration mit den Optionen CONFIG_FEATURE_SEAMLESS_LZMA auch durch andere Komponenten von BusyBox, einschlie\u00dflich tar, unzip, rpm, dpkg, lzma und man. <\/p>\n
Die Schwachstellen CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 und CVE-2021-42377 verursachen ebenfalls einen Denial-of-Service, erfordern jedoch die Ausf\u00fchrung der Dienstprogramme man, ash und hush mit vom Angreifer vorgegebenen Parametern. Die Schwachstellen von CVE-2021-42378 bis CVE-2021-42386 betreffen das Dienstprogramm awk und k\u00f6nnen potenziell zur Ausf\u00fchrung von Code f\u00fchren; daf\u00fcr muss der Angreifer jedoch erreichen, dass in awk ein bestimmtes Muster ausgef\u00fchrt wird (awk muss mit einem von ihm erhaltenen Datenstring als erstem Befehlszeilenargument ausgef\u00fchrt werden). <\/p>\n
Zus\u00e4tzlich kann auch die Verwundbarkeit (CVE-2021-43523) in den Bibliotheken uclibc und uclibc-ng erw\u00e4hnt werden, die damit zusammenh\u00e4ngt, dass bei Aufrufen der Funktionen gethostbyname(), getaddrinfo(), gethostbyaddr() und getnameinfo() keine \u00dcberpr\u00fcfung und Bereinigung des durch den DNS-Server zur\u00fcckgegebenen Domainnamens erfolgt. Beispielsweise kann ein von einem Angreifer kontrollierter DNS-Server als Antwort auf eine bestimmte Aufl\u00f6sungsanfrage Hosts in der Form \u201e.attacker.com\u201c zur\u00fcckgeben, die in unver\u00e4nderter Form an ein Programm zur\u00fcckgegeben werden, das ohne Bereinigung diese im Web-Interface anzeigen k\u00f6nnte. Das Problem wurde in der Version uclibc-ng 1.0.39 behoben, indem Code zur \u00dcberpr\u00fcfung der Richtigkeit der R\u00fcckgaben hinzugef\u00fcgt wurde. Domainnamen<\/a>, das anhand von Glibc implementiert wurde. \u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439 Claroty \u0438 JFrog \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043f\u0430\u043a\u0435\u0442\u0430 BusyBox, \u0448\u0438\u0440\u043e\u043a\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0433\u043e \u0432\u043e \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0449\u0435\u0433\u043e \u043d\u0430\u0431\u043e\u0440 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0445 \u0443\u0442\u0438\u043b\u0438\u0442 UNIX, \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u0445 \u0432 \u0432\u0438\u0434\u0435 \u0435\u0434\u0438\u043d\u043e\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u0435\u043c\u043e\u0433\u043e \u0444\u0430\u0439\u043b\u0430. \u0412 \u0445\u043e\u0434\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043e 14 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0436\u0435 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u044b \u0432 \u0430\u0432\u0433\u0443\u0441\u0442\u043e\u0432\u0441\u043a\u043e\u043c \u0432\u044b\u043f\u0443\u0441\u043a\u0435 BusyBox 1.34. \u041f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043d\u0435\u043e\u043f\u0430\u0441\u043d\u044b \u0438 \u0441\u043e\u043c\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u044b \u0441 \u0442\u043e\u0447\u043a\u0438 \u0437\u0440\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-102257","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Die Sicherheitsanalyse des BusyBox-Pakets hat 14 unbedeutende Schwachstellen aufgezeigt | ProHoster","description":"Forscher von Claroty und JFrog haben die Ergebnisse eines Sicherheitsaudits des BusyBox-Pakets ver\u00f6ffentlicht, das weit verbreitet in eingebetteten Ger\u00e4ten genutzt wird und eine Reihe standardm\u00e4\u00dfiger UNIX-Dienstprogramme bereitstellt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/analiz-bezopasnosti-paketa-busybox-vyyavil-14-nesushhestvennyh-uyazvimostej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u043d\u0430\u043b\u0438\u0437 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043f\u0430\u043a\u0435\u0442\u0430 BusyBox \u0432\u044b\u044f\u0432\u0438\u043b 14 \u043d\u0435\u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439 Claroty \u0438 JFrog \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0430\u0443\u0434\u0438\u0442\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043f\u0430\u043a\u0435\u0442\u0430 BusyBox, \u0448\u0438\u0440\u043e\u043a\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0433\u043e \u0432\u043e \u0432\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 \u0438 \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0449\u0435\u0433\u043e \u043d\u0430\u0431\u043e\u0440 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0445 \u0443\u0442\u0438\u043b\u0438\u0442 UNIX, \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u0445 \u0432 \u0432\u0438\u0434\u0435.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/analiz-bezopasnosti-paketa-busybox-vyyavil-14-nesushhestvennyh-uyazvimostej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-11-09T19:36:46+00:00","article:modified_time":"2021-11-09T19:36:46+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"102257","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-11-09 19:37:47","updated":"2026-02-08 20:56:14","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102257","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=102257"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102257\/revisions"}],"predecessor-version":[{"id":158106,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102257\/revisions\/158106"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=102257"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=102257"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=102257"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"