Rikk vulnerability SHA-3 algoritmi peamise teostuse teegis

SHA-3 (Keccak) krüptograafilise räsi funktsiooni rakenduses, mida pakutakse XKCP (eXtended Keccak Code Package) paketis, on avastatud haavatavus (CVE-2022-37454), mis võib põhjustada puhvrivigu teatud vormindatud andmete töötlemisel. Probleem tuleneb konkreetses SHA-3 rakenduses esinevast veast, mitte algoritmi enda haavatavusest. XKCP pakett esitatakse kui SHA-3 ametlik rakendus, mida arendatakse Keccak arendajate meeskonna osalusel ja mida kasutatakse erinevates programmeerimiskeeltes SHA-3 töömeetodite põhialusena (näiteks kasutatakse XKCP koodi Python moodulis hashlib, Ruby pakendis digest-sha3 ja PHP funktsioonides hash_*).

Probleemi avastanud teadlase väitel õnnestus tal kasutada haavatavust krüptograafiliste omaduste rikkumiseks ja esimese ja teise pre-pildi leidmiseks, samuti kollisioonide määramiseks. Lisaks on teatatud prototüübi väljatöötamisest, mis võimaldab saavutada koodi täitmise spetsiaalselt vormindatud faili räsi arvutamise käigus. Potentsiaalselt võib haavatavust kasutada ka digitaalsete allkirjade kontrollimise algoritmide rünnakutes, mis kasutavad SHA-3-d (näiteks Ed448). Rünnakute läbiviimise meetodite üksikasju kavatsetakse hiljem avaldada, pärast haavatavuse täielikku kõrvaldamist.

Mugavuse mõju olemasolevatele rakendustele pole praktikas veel selge, kuna probleemi ilmnemiseks peab koodis olema tsükliline plokkide kaupa hash-arvutamine, ja üks töödeldavatest plokkidest peab olema ligikaudu 4 GB (vähemalt 2^32 – 200 baiti). Sisendandmete töötlemisel korraga (ilma järjestikulise hash-arvutamiseta osade kaupa) probleem ei ilmne. Lihtsama kaitsemeetodina pakutakse välja maksimaalse andmekoguse piiramist, mis osaleb ühes hash-arvutamise iteratsioonis.

Mugavus on tingitud veast sisendandmete plokkide töötlemisel. Vale „int“ tüübiga väärtuste võrdlemise tõttu määratakse ootavate andmete vale suurus, mis viib andmete kirjutamiseni eraldatud puhvrist välja. Eriti võrdlemisel kasutati väljendit „partialBlock + instance->byteIOIndex“, mis suurte komponentide väärtuste korral põhjustas täisarvu ületäitumise. Lisaks oli koodis vale tüübimuutmine „(unsigned int)(dataByteLen — i)“, mis põhjustas ületäitumise 64-bitises size_t tüübiga süsteemides.

Ületäitumisse viiv koodinäide: import hashlib h = hashlib.sha3_224() m1 = b"\x00" * 1; m2 = b"\x00" * 4294967295; h.update(m1) h.update(m2) print(h.hexdigest())

Allikas: opennet.ru