Bufferi ületäitumine curlis ja libcurlis, mis ilmneb SOCKS5-proksi kaudu päringute tegemisel.

Curl'i ja selle kõrval areneva libcurl'i teabe edastamise ja vastuvõtmise utiliidis avastati haavatavus (CVE-2023-38545), mis võib põhjustada mälupuhvrisse ülevoolu ning potentsiaalselt võimaldada ründajal koodi käivitada kliendi poolel, kui curl'i utiliidi või libcurl'i kasutav rakendus suunab päringu HTTPS-serverisse, mis on ründaja kontrolli all. Probleem ilmneb ainult siis, kui curl'is on aktiveeritud SOCKS5-proksi kasutamine. Otsese juurdepääsu korral proksita haavatavus ei avaldu. Haavatavus on kõrvaldatud curl'i versioonis 8.4.0. Vea tuvastanud turva-uuringute spetsialist sai $4660 suuruse tasu Internet Bug Bounty algatuse raames Hackerone'is.

Turvahaave on põhjustatud veast hostinime lahendamise koodis enne SOCKS5-proksile pöördumist. Kui hostinimi on kuni 256 tähemärki pikk, edastab curl kohe nime SOCKS5-proksile, et see lahendada. Kui nimi on pikem kui 255 tähemärki, vahetab see kohaliku lahendaja vastu ja edastab SOCKS5-le juba määratud aadressi. Koodivea tõttu võis aeglase SOCKS5 ühenduse loomise protsessis olla vajalik kohaliku lahenduse märk kujundatud vääralt, mis viis pika hostinime kirjutamiseni puhvri, mis oli ette nähtud säilitamiseks. IP-aadressid või nime, mis ei ületa 255 tähemärki.

Veebisaidi omanik, kellele curl pöördub SOCKS5-proksi kaudu, saab algatada kliendipoolse puhverserveri ülevoolu, tagastades vastuseks päringu suunamise koodi (HTTP 30x) ja seades päisesse "Location:" URL, mille hostinimi on vahemikus 16 kuni 64 KB (16 KB väärtus on tingitud minimaalsetest nõuetest, mis on vajalikud reserveeritud puhverserveri ülevooluks, ja 65 KB väärtus on seotud lubatud maksimaalse hostinime pikkusega URL-is). Kui libcurl seadistustes on lubatud päringute suunamine ja kasutatav SOCKS5-proksi on piisavalt aeglane, siis pikk hostinimi salvestatakse väiksemasse puhverserverisse, mis on selgelt väiksema suurusega.

Vulnerability mainly affects applications based on libcurl and manifests in the curl utility only when using the "—limit-rate" option with a value less than 65541 — libcurl by default allocates a buffer size of 16 KB, while in the curl utility it is 100 KB, but this size changes based on the value of the "—limit-rate" parameter.

Daniel Stenberg, projekti autor, mainis, et haavatavus jäi 1315 päeva jooksul märkamata. Samuti öeldi, et 41% varasematest curl'i haavatavustest oleks tõenäoliselt olnud vältimatu, kui curl oleks kirjutatud keeles, mis tagab mäluga ohutu töötamise, kuid curl'i ümberkirjutamine teise keelde lähiajal ei ole plaanis. Koodibaasi turvalisuse suurendamiseks soovitatakse laiendada koodi testimise tööriistu ja aktiivsemalt kasutada sõltuvusi, mis on kirjutatud mäluga ohutuks programmeerimiskeeleks. Samuti kaalutakse curl’i osade järk-järgulist asendamist ohutuma keelevariantidega, näiteks katsetatud HTTP-tagaküljega Hyper, mis on loodud Rust keeles.

Allikas: opennet.ru