In kwetsberens (CVE-2018-25032) is identifisearre yn 'e zlib-bibleteek, dy't liedt ta in bufferoerstream by it besykjen om in spesjaal taret sekwinsje fan tekens yn ynkommende gegevens te komprimearjen. Yn syn hjoeddeistige foarm hawwe ûndersikers de mooglikheid oantoand om in proses abnormaal te beëinigjen. Oft it probleem serieuzere gefolgen hawwe kin, is noch net ûndersocht.
De kwetsberens manifestearret him begjinnend mei zlib ferzje 1.2.2.2 en hat ynfloed op de hjoeddeiske zlib release, 1.2.11. It is it neamen wurdich dat in patch dy't de kwetsberens reparearret al yn 2018 foarsteld waard, mar de ûntwikkelders hawwe it negearre en hawwe gjin korrektive release útbrocht (de zlib-bibleteek is foar it lêst bywurke yn 2017). De fix is ek noch net opnommen yn distribúsjepakketten. Jo kinne de release fan patches per distribúsje folgje op de folgjende siden: Debian, RHEL, Fedora, SUSE, Ubuntu, Bôge Linux, OpenBSD, FreeBSD, NetBSD. De zlib-ng-bibleteek wurdt net beynfloede troch dit probleem.
De kwetsberens komt foar as de ynfierstream in grut oantal wedstriden befettet dy't ynpakt wurde, wêrop ferpakking wurdt tapast op basis fan fêste Huffman-koades. Under bepaalde omstannichheden kin de ynhâld fan 'e tuskenbuffer dêr't it komprimearre resultaat yn pleatst it ûnthâld oerlaapje wêryn't de symboalfrekwinsjetabel is opslein. As gefolch wurde ferkearde komprimearre gegevens oanmakke en crashes fanwege skriuwen bûten de buffergrins.
De kwetsberens kin allinich brûkt wurde mei in kompresjestrategy basearre op fêste Huffman-koades. In ferlykbere strategy wurdt keazen as de opsje Z_FIXED eksplisyt ynskeakele is yn 'e koade (in foarbyld fan in folchoarder dy't liedt ta in crash by it brûken fan de opsje Z_FIXED). Troch de koade te beoardieljen kin de Z_FIXED-strategy ek automatysk selektearre wurde as de optimale en statyske beammen berekkene foar de gegevens deselde grutte hawwe.
It is noch net dúdlik oft eksploitaasje fan 'e kwetsberens berikt wurde kin mei de standert Z_DEFAULT_STRATEGY-kompresjestrategy. As dat net sa is, soe de kwetsberens beheind wêze ta spesifike systemen dy't de Z_FIXED-opsje eksplisyt brûke. As dat sa is, kin de skea fan 'e kwetsberens tige wichtich wêze, om't de zlib-bibleteek de de facto standert is en brûkt wurdt yn in protte populêre projekten, ynklusyf de kernel. Linux, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg, rpm, Git, PostgreSQL, MySQL, ensfh.
Boarne: opennet.ru
