Vabastatud süsteemiraamatukogu Glibc 2.39 ja GNU Binutils 2.42 utiliidid

Pärast kuue kuu arendustööd on avaldatud GNU C Library (glibc) 2.39 versioon, mis järgib täielikult ISO C11 ja POSIX.1-2017 standardite nõudeid. Uues väljaandes on sisse viidud 67 arendaja parandus.

Glibc 2.39-s ellu viidud täiustustest võib märkida:

• On tagatud varustatud virnastuse toetamine (shadow stack), mis tuli kasutusele Linuxi tuumas 6.6, võimaldades ära hoida paljude eksploiteerimise meetodite toimet, kasutades Intel'i protsessorite riistvaralist tuge tagasinavade kaitsmiseks funktsioonide sõltumatute aadresside liialdamise vältimiseks virnastuse ületamisel. Kaitse põhiolemus on see, et pärast kontrolli edastamist funktsioonile salvestab protsessor tagasipöördumise aadressid mitte ainult tavapärasesse virnasse, vaid ka eraldi "varju" virnasse, mida ei saa otse muuta. Enne funktsioonist väljumist tuvastatakse tagasipöördumise aadress varju virnast ja võrreldakse seda peamise virna aadressiga. Aadresside mitteühilduvus põhjustab erandi genereerimise, mis hoiab ära olukorrad, kus eksploiteerija on suutnud peamise virna aadressi üle kirjutada. Funktsiooni aktiveerimiseks on lisatud kompileerimise valik "--enable-cet".
• Lisatud on uus pealkirjafail <stdbit.h>, mis on määratletud ISO C2X standardi visandis ja sisaldab funktsioone stdc_leading_zeros, stdc_leading_ones, stdc_trailing_zeros, stdc_trailing_ones, stdc_first_leading_zero, stdc_first_leading_one, stdc_first_trailing_zero, stdc_first_trailing_one, stdc_count_zeros, stdc_count_ones, stdc_has_single_bit, stdc_bit_width, stdc_bit_floor ja stdc_bit_ceil tüüpide „unsigned char“, „unsigned short“, „unsigned int“, „unsigned long int“ ja „unsigned long long int“ variatsioonides.
• Linuxi platvormil on rakendatud funktsioonid posix_spawnattr_getcgroup_np ja posix_spawnattr_setcgroup_np, samuti lipp POSIX_SPAWN_SETCGROUP, mis võimaldavad seadistada cgroupv2 uues protsessis kasutades funktsioone posix_spawn ja posix_spawnp, vältides võidujooksu. Need funktsioonid on GNU laiendused ja töötamiseks nõuavad Linuxi tuuma, mis toetab süsteemi kutset clone3.
• Linuxi platvormil on rakendatud funktsioonid pidfd_spawn ja pidfd_spawp, mis on semantiliselt seotud funktsiooniga posix_spawn, kuid tagastavad mitte protsessi identifikaatori (PID), vaid failikirjeldaja, mida saab kasutada PIDFD mehhanismi toetavate funktsioonide, nagu pidfd_send_signal, poll ja waitid, korral. (PIDFD on seotud konkreetse protsessiga ja ei muutu, samas kui PID võib pärast hetkel joont leidnud protsessi lõpetamist olla seotud mõne teise protsessiga.)
• Linuxi platvormil on lisatud funktsioon pidfd_getpid, mis määratleb protsessi identifikaatori (PID) failikirjeldaja (PIDFD) põhjal, mille on tagastanud funktsioonid pid_spawn, fork_np ja pidfd_open.
• Funktsioonide scanf perekonnas on lisatud suuruse modifikaator „wN“, mis rakendatakse argumentidele, mille tüüp on intN_t, int_leastN_t, uintN_t ja uint_leastN_t. Näiteks kümnendite väärtuste lugemiseks int32_t ja int_least32_t tüüpides võib määrata „%w32d“, kuueteistkümnendite puhul - „%w32x“. Samuti on lisatud modifikaator „wfN“ tüüpidele int_fastN_t ja uint_fastN_t, mis on esitatud ISO C2X visandi standardis.
• Lisatud on seade „glibc.cpu.plt_rewrite“, mis aktiveerib PLT (Procedure Linkage Table) kirjutamise x86-64 süsteemides, mille korral siduja asendab PLT-s kaudseid üleminekuid (indirect branch) otseteede (direct branch) vastu.
• Lisatud on seade „glibc.mem.decorate_maps“, mis lisab täiendavat teavet mälu eraldamise kohta (nt lõime virnast, mis on loodud pthread_create funktsiooni kaudu, või mäluruumi, mille on eraldanud malloc).
• Struktuuris „statvfs“ on tagatud välja „f_type“ täitmine failisüsteemi tüübi teabega, mis on ekvivalentne väljale struktuuris „statfs“. Varasematel Linuxi versioonidel on välja „f_type“ alati salvestatud väärtusele 0.
• Platvormile AArch64 on libmvec ja math.h lisatud annotatsioonid, mis võimaldavad kompileerimise ajal kasutada vektoriseerimist, kui määratakse kompileerimise valik „-ffast-math“ GCC 9 ja uuemate kompilaatoriversioonide puhul. Vektoriseerimine on lubatud matemaatilistele funktsioonidele acos, acosf, asin, asinf, atan, atanf, atan2, atan2f, cos, cosf, exp, expf, exp10, exp10f, exp2, exp2f, expm1, expm1f, log, logf, log10, log10f, log1p, log1pf, log2 ja log2f, sin, sinf, tan ja tanf.
• Kogumist on eemaldatud teek libcrypt ja seotud pealkirjafail „<crypt.h>“. Rakenduste arendajatele soovitatakse minna üle alternatiivsetele teekidele, nagu libxcrypt.
• Utiliidis ldconfig välistatakse nüüd failid, mille nimis on sümbol ‘;’ või mis lõpevad „.dpkg.tmp“ ja „.dpkg.new“, mis võimaldab mitte töödelda ajutisi pakihaldurite failide rpm ja dpkg.
• Toetamine arhitektuuri ia64 (ia64*-*-linux-gnu) suletakse, mis on rakendatud Intel Itaniumi protsessorites.
• Turbeteated:
  • CVE-2023-6246, CVE-2023-6779, CVE-2023-6780 — kriitilised haavatavused funktsioonis __vsyslog_internal(), mis võimaldavad SUID-rakenduste käivitamise kaudu oma koodi täitmist kõrgendatud privileegidega.
  • CVE-2023-4911 — haavatavus Glibc ld.so-s, mis võimaldab süsteemis saada juurõiguseid. Haavatavus tuleneb veast GLIBC_TUNABLES keskkonnamuutuja pingereadingu koodis ja võib viia lahtise väärtuse kirjutamiseni eraldatud puust välja. On olemas toimivad eksploiteerimised.
  • CVE-2023-4806 — haavatavus getaddrinfo funktsioonis, mis tuleneb mälu juurde pääsemisest pärast selle vabastamist (use-after-free). Probleem ilmneb, kui NSS-plugin rakendab ainult callback-kutsed "_gethostbyname2_r" ja "_getcanonname_r", kuid ei toeta "_gethostbyname3_r". Haavatavuse ärakasutamiseks peab DNS-server tagastama palutud hosti jaoks palju IPv6 ja IPv4 aadresse, mis põhjustab getaddrinfo funktsiooni kutsunud protsessi kokkuvarisemise AF_INET6 peres, kui lipud AI_CANONNAME, AI_ALL ja AI_V4MAPPED on seatud.
  • CVE-2023-4527 — haavatavus getaddrinfo funktsioonis, mis võimaldab lugeda andmeid puu piiridest välja, töötledes TCP kaudu saadud DNS-vastust, mille suurus ületab 2048 baiti. Haavatavus ilmneb kui "no-aaaa" valikut kasutatakse failis /etc/resolv.conf.

  Lisaks on välja antud GNU Binutils 2.42 süsteemitarvikute kogum, mis sisaldab selliseid programme nagu GNU linker, GNU assembler, nm, objdump, strings, strip.

  Uues versioonis Binutils:

  • x86-64 süsteemide assemblerisse (gas) lisatud eksperimentaalne võimalus "—scfi=experimental" CFI (Control Flow Integrity) konstruktsioonide sünteesimiseks käsitsi kirjutatud assemblerkoodi jaoks, mis vastab System V AMD64 ABI-le.
  • readelf programmile lisatud võimalus "—extra-sym-info", mis väljastab täiendavat teavet sümbolite kohta ("—symbols"), näiteks sektsiooni nimed, millele st_shndx indeks viitab.
  • objcopy utiliidis on lisatud võimalus kasutada "—set-section-flags" valikutes väärtust "large" ELF-objektide SHF_X86_64_LARGE märkimiseks x86-64 süsteemidel. "—visualize-jumps" valikus on toetatud arhitektuuri s390.
  • s390 juhiste dekeerteerimise ajal on lisatud võimalus kuvada kommentaare juhiste kirjeldustes. Desassemblerisse objdump-s saab kirjelduste lisamiseks määrata parameetri "-M insndesc", ja gdb-s seadistuse "set disassembler-options insndesc".
  • Linkerisse on lisatud valikud "-z mark-plt" ja "-z nomark-plt", et markeerida PLT tabeli kirjeid, kasutades silte DT_X86_64_PLT, DT_X86_64_PLTSZ ja DT_X86_64_PLTENT.
  • Linkerisse on lisatud tagurpidi sorteeringu tugi.
  • Lisatud valikud "—warn-execstack-objects", "—error-execstack" ja "—error-rxw-segments", et väljastada hoiatuste või vigade teateid, kui kasutatakse täidetava stendi objekte.
  • Implementatud on ABI 2.30 LoongArch arhitektuuri tugi ja uute käskude tugi, mis on määratletud LoongArch 1.10 spetsifikatsioonis.
  • KVX käskude toetus, mida kasutatakse Kalray protsessorites (nt kasutatakse SoC Coolidge'is).
  • Intel arhitektuuri põhise süsteemide tugi järgmiste laienduste jaoks:
    • Intel APX: 32 GPR sidurid, NDD, PUSH2/POP2, PUSHP/POPP.
    • USER_MSR.
    • AVX10.1.
    • PBNDKB.
    • SM4.
    • SM3.
    • SHA512.
    • AVX-VNNI-INT16.
  • RISC-V arhitektuuri pordile on lisatud laienduste tugi:
    • T-Head (XTheadVector, XTheadZvlsseg ja XTheadZvamo).
    • CORE-V (XCVmac, XCValu).
    • SiFive VCIX (XSfVcp).
  • AArch64 arhitektuuri pordile on lisatud laienduste toetus:
    • SVE2.1 (Scalable Vector Extension 2.1).
    • SME2.1 (Scalable Matrix Extension 2.1).
    • B16B16 (BFloat16 ja BFloat16 SVE2 ja SME2 jaoks).
    • RASv2 (Reliability, Availability and Serviceability v2).
    • LSE128 (128-biti Atomaarsed).
    • GCS (Guarded Control Stack).
    • CHK (Check Feature Status).
    • SPECRES2 (Enhanced Speculation Restriction).
    • LRCPC3 (Load-Acquire RCpc).
    • THE (Translation Hardening).
    • ITE (Instruction Trace).
    • D128 (128-bit mälu lehekülgede descriptorid).
    • XS (mälu atribuut XS).
  • Toetatakse AArch64 Cortex-A520, Cortex-A720, Cortex-X3 ja Cortex-X4 protsessoreid.
  • BPF assemblerisse lisatud toimetulemiseks clang/LLVM assembleriga on toetatud kommentaaride eraldamist märgiga "#" ja "//", samuti semikooloniga ";" väljendite eraldamiseks rea sees (semikoolon ei tohi enam olla kasutusel kommentaaride jaoks).

  Allikas: opennet.ru