{"id":121941,"date":"2025-02-14T20:22:09","date_gmt":"2025-02-14T18:22:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr"},"modified":"2025-02-14T20:22:09","modified_gmt":"2025-02-14T18:22:09","slug":"uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in Musl, die beim Konvertieren von Text in der EUC-KR-Codierung ausgenutzt wird","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In der Standard-C-Bibliothek Musl wurde eine Sicherheitsanf\u00e4lligkeit (CVE-2024-2961) festgestellt, die zu einem Puffer\u00fcberlauf f\u00fchrt, wenn speziell formatierter Text von der EUC-KR-Codierung in UTF-8 mit der Funktion iconv() umgewandelt wird. Die Sicherheitsanf\u00e4lligkeit tritt ab Version musl 0.9.13 auf und wird in der bevorstehenden Version 1.2.6 behoben (bis zur Ver\u00f6ffentlichung des Updates sollte ein Patch verwendet werden). Die Sicherheitsanf\u00e4lligkeit wurde w\u00e4hrend des Fuzzing-Tests durch die die Bibliothek begleitende libxml2 entdeckt. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit kann f\u00fcr Angriffe auf Anwendungen, die mit der Musl-Bibliothek erstellt wurden und Text, der aus externen Quellen stammt, umkodieren, genutzt werden. Die Ausnutzung der Sicherheitsanf\u00e4lligkeit ist m\u00f6glich, wenn in der Anwendung die Funktion iconv_open() mit der Angabe der Quellcodierung EUC-KR und der Zielcodierung UTF-8 aufgerufen wird. Als Beispiele f\u00fcr potenziell anf\u00e4llige Anwendungen werden Programme erw\u00e4hnt, die XML, HTML und E-Mails basierend auf der im Header mit dem MIME-Typ angegebenen Codierung umkodieren (zum Beispiel «text\/plain; charset=EUC-KR»). Ein solches Umkodieren f\u00fchren Programme durch, die die Bibliothek libxml2 verwenden. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit resultiert aus einer Kombination von zwei Fehlern. Der erste Fehler h\u00e4ngt mit dem Fehlen einer angemessenen \u00dcberpr\u00fcfung ung\u00fcltiger mehrbyteiger Sequenzen im EUC-KR-Dekodierer zusammen. Der zweite Fehler liegt im UTF-8-Kodierer, der nicht darauf ausgelegt war, dass der Eingabedekodierer ung\u00fcltige Unicode-Skalare Werte zur\u00fcckgeben kann. Infolgedessen f\u00fchrt die Verarbeitung von Sequenzen wie «\xc8\x41» dazu, dass Werte in Bereiche au\u00dferhalb des zugewiesenen Puffers geschrieben werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"