Glibc haavatavus, mida saab ära kasutada PHP skriptide kaudu

Standardse C-teegi Glibc-s on avastatud haavatavus (CVE-2024-2961), mis põhjustab puhverülevoolu, kui spetsiifiliste formaadiga ISO-2022-CN-EXT strings muudetakse funktsiooniga iconv(). Probleemi avastanud uurija kavatseb 10. mail esineda konverentsil OffensiveCon, kus ta mainib haavatavuse ärakasutamise võimalust PHP-keeles kirjutatud rakenduste kaudu. Toodud probleem mõjutab kogu PHP ökosüsteemi ja mõningaid rakendusi.

Stringe UCS4 koodivormingus muundades lisab teek vastavalt RFC 1922 nõuetele mõned escape-märgid, mis eristavad stringi osi, kus koodivormingut on muudetud. Haavatavus on põhjustatud funktsiooni iconv() ebatäpsest piirikontrollist, mis võib põhjustada puhverülevoolu maksimaalselt 4 baitiga. Puhveri piiril võivad teatud fikseeritud väärtused nagu ‘$+I’, ‘$+J’, ‘$+K’, ‘$+L’, ‘$+M’ ja ‘$*H’ välja kirjutada. Kuigi sellise haavatavuse ärakasutamine koodi täitmiseks näib ebatõenäoline, väidab probleemile tähelepanu juhtinud uurija, et sellest piisas mitmete kaugõppe eksploiteerimise prototüüpide ettevalmistamiseks PHP rakendustes, mis viib koodi täitmiseni.

Haavatavus on ilmnenud alates 2000. aastast ja on likvideeritud Glibc 2.40 arenduses oleval harul. Parandus on saadaval ka Glibc väljalasetele alates 2.32 kuni 2.39 valmis patchide kujul. Distrodes saab haavatavuse parandamisest jälgida lehtedel: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.

Allikas: opennet.ru