BusyBox paketi turvaanalüüs tuvastas 14 ebaolulist haavatavust

Claroty ja JFrog'i teadlased avaldasid BusyBoxi, laialdaselt kasutatava paketi, turvaauditi tulemused, mis pakub komplekti standardseid UNIX-i utiliite ühe täitmise failina. Kontrollimise käigus tuvastati 14 haavatavust, mis on juba lahendatud BusyBoxi 1.34 augustikuu väljalaskeversioonis. Peaaegu kõik probleemid on ohutud ja kaheldavad, kui need on rakendatud reaalsetes rünnakutes, kuna nad nõuavad utiliitide käivitamist väliselt saadud argumentidega.

Eraldi märgitakse haavatavus CVE-2021-42374, mis võimaldab teenuse kättesaamatust, kui käsitletakse spetsiaalselt vormindatud kompakti faili utiliidi unlzma abil, ja kui see on koostatud valikuga CONFIG_FEATURE_SEAMLESS_LZMA, siis ka teiste BusyBoxi komponentide, sealhulgas tar, unzip, rpm, dpkg, lzma ja man kaudu.

Haavatavused CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 ja CVE-2021-42377 võimaldavad teenuse kättesaamatust, kuid nõuavad utiliitide man, ash ja hush käivitamist ründajate määratud parameetritega. Haavatavused CVE-2021-42378 kuni CVE-2021-42386 mõjutavad awk utiliiti ja võivad potentsiaalselt võimaldada koodi täitmist, kuid selleks peab ründaja saavutama awk-s määratud mustri täitmise (on vajalik käivitada awk, edastades esimeses argumentides ründajalt saadud andmed).

Lisaks võib märkida haavatavust (CVE-2021-43523) uclibc ja uclibc-ng teekides, mis on seotud sellega, et funktsioonidele gethostbyname(), getaddrinfo(), gethostbyaddr() ja getnameinfo() pöördumise korral ei kontrollita ja puhastata DNS-serveri tagastatud domeeninime. Näiteks võib vastuseks teatud resolvimise päringule tagasi anda ründaja kontrolli all oleva DNS-serveri hostid nagu ".attacker.com", mis tagastatakse mingile programmile muutumatuna ja mis võib ilma puhastamata kuvada need oma veebiliideses. Probleem lahendati uclibc-ng 1.0.39 väljaande kaudu, lisades tagastatavate tulemuste kontrollimiseks koodi. domeeninime, mis on ellu viidud Glibci sarnase meetodiga.

Allikas: opennet.ru