{"id":121941,"date":"2025-02-14T20:22:09","date_gmt":"2025-02-14T18:22:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr"},"modified":"2025-02-14T20:22:09","modified_gmt":"2025-02-14T18:22:09","slug":"uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr","title":{"rendered":"Eine Schwachstelle in Musl, die bei der Umcodierung von Text in der EUC-KR-Codierung ausgenutzt wird","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der Standard-C-Bibliothek Musl wurde eine Schwachstelle (CVE-2024-2961) entdeckt, die zu einem Puffer\u00fcberlauf f\u00fchrt, wenn speziell gestalteter Text von EUC-KR nach UTF-8 mit der Funktion iconv() konvertiert wird. Die Schwachstelle tritt ab der Version musl 0.9.13 auf und wird in der bevorstehenden Ver\u00f6ffentlichung 1.2.6 behoben (vor der Ver\u00f6ffentlichung des Updates sollte ein Patch verwendet werden). Die Schwachstelle wurde beim Fuzzing-Test der zugeh\u00f6rigen Bibliothek libxml2 entdeckt. <\/p>\n
Die Schwachstelle kann genutzt werden, um Angriffe auf Anwendungen auszuf\u00fchren, die mit der Musl-Bibliothek erstellt wurden und Text aus externen Quellen umkodieren. Die Ausnutzung der Schwachstelle ist m\u00f6glich, wenn in der Anwendung die Funktion iconv_open() mit einer angegebenen Ausgangscodierung EUC-KR und einer Zielcodierung UTF-8 aufgerufen wird. Als Beispiel f\u00fcr potenziell betroffene Anwendungen werden Programme genannt, die XML, HTML und E-Mails basierend auf der im MIME-Typ-Header angegebenen Codierung umkodieren (z. B. «text\/plain; charset=EUC-KR»). Solche Umkodierungen werden von Programmen durchgef\u00fchrt, die die libxml2-Bibliothek verwenden. <\/p>\n
Die Schwachstelle resultiert aus einer Kombination von zwei Fehlern. Der erste Fehler bezieht sich auf das Fehlen einer angemessenen \u00dcberpr\u00fcfung ung\u00fcltiger Multibyte-Sequenzen im EUC-KR-Dekodierer. Der zweite Fehler besteht im UTF-8-Encoding, das nicht daf\u00fcr ausgelegt war, dass der Eingabedekodierer ung\u00fcltige Unicode-Skalare zur\u00fcckgeben kann. In der Folge f\u00fchrt die Verarbeitung von Sequenzen wie «\xc8\x41» dazu, dass Werte au\u00dferhalb des zugewiesenen Puffers geschrieben werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"