Puhveri ületamine curlis ja libcurlis, mis avaldub SOCKS5-proksi kaudu päringute tegemisel

Andmete edastamiseks ja vastuvõtmiseks mõeldud utiliidis curl ja samal ajal arenevas raamatukogus libcurl avastati haavatavus (CVE-2023-38545), mis võib viia puhveri ületamiseni ja potentsiaalselt koodide täitmisse ründaja poolt kliendipoolsel küljel, kui utiliit curl või rakendus, mis kasutab libcurl-i, pöördub HTTPS-serveri poole, mis on kurjategija kontrolli all. Probleem avaldub ainult siis, kui curlis on sisse lülitatud juurdepääs SOCKS5-proksi kaudu. Otsese päringu korral ilma proksita haavatavust ei esine. Haavatavus on kõrvaldatud curl versioonis 8.4.0. Vea avastanud turvauurijale anti $4660 suurune preemia Internet Bug Bounty algatuse raames Hackerone'is.

Haavatavus on põhjustatud veast hostinime lahendamise koodis enne pöördumist SOCKS5-proksi. Kui hostinimi on kuni 256 märke, edastab curl nime kohe SOCKS5-proksile lahendamiseks sellel poolel, ja kui nimi on pikem kui 255 märki, lülitub ta kohaliku resolvri kasutamisele ja edastab SOCKS5-le juba määratud aadressi. Koodivea tõttu võis aeglase SOCKS5-ühenduse seadistamise käigus vale väärtus saada flagg, mis näitab, et kohalikku lahendamist on vaja, mis viis pika hostinime kirjutamiseni puhvrisse, mis oli ette nähtud salvestamiseks IP-aadressid või nimele, mis ei ületa 255 märki.

Selle saidi omanik, kelle poole curl pöördub läbi SOCKS5-proksi, võib algatada klientpoolsest puhveri ületamise, tagastades päringule suunamise koodi (HTTP 30x) ja seadistades päisesse "Location:" URL, mille hostinime suurus on vahemikus 16 kuni 64 KB (16 KB väärtus on tingitud minimaalsetest nõuetest, mis on vajalikud puhberdisainiga ületamiseks, ja 65 KB väärtus on seotud maksimaalselt lubatud hostinime pikkusega URL-is). Kui libcurl-i seadetes on lubatud päringute suunamine ja kasutatav SOCKS5-proksi on piisavalt aeglane, kirjutatakse pika hostinime andmed väikesele puhvrile, mille suurus on selgelt väiksem.

Haavatavus mõjutab peamiselt rakendusi, mis põhinevad libcurl'il, ja ilmneb curl'i utiliidis ainult siis, kui kasutatakse valikut „--limit-rate“ väärtusega, mis on väiksem kui 65541 — libcurl reserves vaikimisi 16 KB suuruse puhver, samas kui curl'is on see 100 KB, kuid see suurus muutub sõltuvalt „--limit-rate“ parameetri väärtusest.

Daniel Stenberg, projekti autor, mainis, et haavatavus jäi märkamatuks 1315 päeva jooksul. Samuti öeldi, et 41% varasematest curl'i haavatavustest oleks tõenäoliselt saanud vältida, kui curl oleks kirjutatud keeles, mis tagab mäluga ohutu töö, kuid curl'i ümberkirjutamist teise keelde lähitulevikus ei plaanita. Koodibaasi turvalisuse suurendamiseks soovitatakse laiendada koodi testimise tööriistu ja kasutada aktiivsemalt sõltuvusi, mis on kirjutatud mäluga ohututesse programmeerimiskeeltesse. Samuti kaalutakse curl'i osade järkjärgulist asendamist turvalistes keeltes kirjutatud variantidega, nagu katseprojekt HTTP-tagaplaan Hyper, mis on rakendatud Rust keeles.

Allikas: opennet.ru