glibc เชฎเชพเช‚ เชจเชฌเชณเชพเชˆ เช•เซ‡ เชœเซ‡ เชคเชฎเชจเซ‡ เชธเชฟเชธเซเชŸเชฎเชฎเชพเช‚ เชฐเซ‚เชŸ เชเช•เซเชธเซ‡เชธ เชฎเซ‡เชณเชตเชตเชพ เชฎเชพเชŸเซ‡ เชชเชฐเชตเชพเชจเช—เซ€ เช†เชชเซ‡ เช›เซ‡

Qualys เช เชธเซเชŸเชพเชจเซเชกเชฐเซเชก C เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€ Glibc เชฎเชพเช‚ เชเช• เช–เชคเชฐเชจเชพเช• เชจเชฌเชณเชพเชˆ (CVE-2023-6246) เช“เชณเช–เซ€ เช•เชพเชขเซเชฏเซเช‚ เช›เซ‡, เชœเซ‡ เชคเชฎเชจเซ‡ SUID เชเชชเซเชฒเซ€เช•เซ‡เชถเชจเชจเชพ เชฒเซ‹เชจเซเชš เชธเชพเชฅเซ‡ เชฎเซ‡เชจเชฟเชชเซเชฏเซเชฒเซ‡เชถเชจเซเชธ เชฆเซเชตเชพเชฐเชพ เชเชฒเชฟเชตเซ‡เชŸเซ‡เชก เชตเชฟเชถเซ‡เชทเชพเชงเชฟเช•เชพเชฐเซ‹ เชธเชพเชฅเซ‡ เชคเชฎเชพเชฐเชพ เช•เซ‹เชกเชจเซ‡ เชšเชฒเชพเชตเชตเชพเชจเซ€ เชฎเช‚เชœเซ‚เชฐเซ€ เช†เชชเซ‡ เช›เซ‡. เชธเช‚เชถเซ‹เชงเช•เซ‹ เชเช• เช•เชพเชฐเซเชฏเช•เชพเชฐเซ€ เชถเซ‹เชทเชฃ เชตเชฟเช•เชธเชพเชตเชตเชพเชฎเชพเช‚ เชธเช•เซเชทเชฎ เชนเชคเชพ เชœเซ‡ su เชฏเซเชŸเชฟเชฒเชฟเชŸเซ€ เชšเชฒเชพเชตเชคเซ€ เชตเช–เชคเซ‡ เช•เชฎเชพเชจเซเชก เชฒเชพเช‡เชจ เชฆเชฒเซ€เชฒเซ‹เชจเซ‡ เชนเซ‡เชฐเชซเซ‡เชฐ เช•เชฐเซ€เชจเซ‡ เชฐเซ‚เชŸ เช…เชงเชฟเช•เชพเชฐเซ‹ เชฎเซ‡เชณเชตเชตเชพ เชฎเชพเชŸเซ‡ เชชเชฐเชตเชพเชจเช—เซ€ เช†เชชเซ‡ เช›เซ‡.

เชจเชฌเชณเชพเชˆ syslog() เช…เชจเซ‡ vsyslog() เชซเช‚เช•เซเชถเชจเชจเซ‡ เช•เซ‰เชฒ เช•เชฐเชคเซ€ เชตเช–เชคเซ‡ เช‰เชชเชฏเซ‹เช—เชฎเชพเช‚ เชฒเซ‡เชตเชพเชคเชพ __vsyslog_internal() เชซเช‚เช•เซเชถเชจเชฎเชพเช‚ เชฌเชซเชฐ เช“เชตเชฐเชซเซเชฒเซ‹เชจเซ‡ เช•เชพเชฐเชฃเซ‡ เชฅเชพเชฏ เช›เซ‡. SYSLOG_HEADER เชฎเซ‡เช•เซเชฐเซ‹ เชฆเซเชตเชพเชฐเชพ เช–เซ‚เชฌ เชฒเชพเช‚เชฌเซ เชเชชเซเชฒเชฟเช•เซ‡เชถเชจ เชจเชพเชฎ เช†เช‰เชŸเชชเซเชŸ เช•เชฐเชตเชพเชจเซ‹ เชชเซเชฐเชฏเชพเชธ เช•เชฐเชคเซ€ เชตเช–เชคเซ‡ เชญเซ‚เชฒเชจเซ‡ เช•เชพเชฐเชฃเซ‡ เชธเชฎเชธเซเชฏเชพ เชŠเชญเซ€ เชฅเชพเชฏ เช›เซ‡. เชฒเชพเช‚เชฌเชพ เชจเชพเชฎ เชชเชฐ เช†เชงเชพเชฐเชฟเชค เชฌเชซเชฐเชจเซ‡ เชตเชฟเชธเซเชคเซƒเชค เช•เชฐเชตเชพเชจเซ‹ เชชเซเชฐเชฏเชพเชธ เช•เชฐเชคเซ€ เชตเช–เชคเซ‡, เชจเชฟเชทเซเชซเชณเชคเชพ เชฅเชพเชฏ เช›เซ‡, เชœเซ‡เชจเชพ เชชเช›เซ€ เชกเซ‡เชŸเชพ เชฎเซ‚เชณ เชจเชพเชจเชพ เช•เชฆเชจเชพ เชœเซ‚เชจเชพ เชฌเชซเชฐ เชชเชฐ เชฒเช–เชตเชพเชฎเชพเช‚ เช†เชตเซ‡ เช›เซ‡.

su เชฏเซเชŸเชฟเชฒเชฟเชŸเซ€ เชฆเซเชตเชพเชฐเชพ เชนเซเชฎเชฒเชพเชจเซเช‚ เช†เชฏเซ‹เชœเชจ เช•เชฐเชคเซ€ เชตเช–เชคเซ‡, เชนเซเชฎเชฒเชพเช–เซ‹เชฐ เชเช†เชฐเชœเซ€เชตเซ€[0] เชฎเซ‚เชฒเซเชฏเชจเซ‡ เชฌเชฆเชฒเซ€เชจเซ‡ เชœเซเชฏเชพเชฐเซ‡ เชเชชเซเชฒเชฟเช•เซ‡เชถเชจ เชถเชฐเซ‚ เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซ‡ เชคเซเชฏเชพเชฐเซ‡ เชชเซเชฐเช•เซเชฐเชฟเชฏเชพเชจเซเช‚ เชจเชพเชฎ เชฌเชฆเชฒเซ€ เชถเช•เซ‡ เช›เซ‡, เชœเซ‡เชจเซ‹ เช‰เชชเชฏเซ‹เช— เชฒเซ‹เช—เชฎเชพเช‚ เช†เช‰เชŸเชชเซเชŸ เช•เชฐเชคเซ€ เชตเช–เชคเซ‡ เชชเซเชฐเซ‹เช—เซเชฐเชพเชฎเชจเชพ เชจเชพเชฎ เชตเชฟเชถเซ‡เชจเซ€ เชฎเชพเชนเชฟเชคเซ€ เชฎเซ‡เชณเชตเชตเชพ เชฎเชพเชŸเซ‡ เชฅเชพเชฏ เช›เซ‡ เช…เชจเซ‡ เชจเชฟเชฏเช‚เชคเซเชฐเชฟเชค เช“เชตเชฐเชฐเชพเช‡เชŸเชฟเช‚เช— เชชเซเชฐเชพเชชเซเชค เช•เชฐเซ‡ เช›เซ‡. เชซเชพเชณเชตเซ‡เชฒ เชฌเชซเชฐเชจเซ€ เชฌเชนเชพเชฐเชจเชพ เชกเซ‡เชŸเชพเชจเซ‹. เช“เชตเชฐเชซเซเชฒเซ‹ เชชเช›เซ€ เชถเซ‡เชฐ เช•เชฐเซ‡เชฒ เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€ เชฌเชจเชพเชตเชตเชพ เช…เชจเซ‡ เชคเซ‡เชจเซ‡ เชฐเซเชŸ เชคเชฐเซ€เช•เซ‡ เชฒเซ‹เชก เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡ nss เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€เชฎเชพเช‚ nss_module เชฎเชพเชณเช–เซเช‚ เชซเชฐเซ€เชฅเซ€ เชฒเช–เชตเชพ เชฎเชพเชŸเซ‡ เชตเชพเชชเชฐเซ€ เชถเช•เชพเชฏ เช›เซ‡.

เช“เช—เชธเซเชŸ 2.37 เชฎเชพเช‚ เชชเซเชฐเช•เชพเชถเชฟเชค glibc 2022 เชจเชพ เชชเซเชฐเช•เชพเชถเชจ เชชเช›เซ€เชฅเซ€ เช† เชฎเซเชฆเซเชฆเซ‹ เชนเชพเชœเชฐ เช›เซ‡, เชœเซ‡เชฎเชพเช‚ เช–เซ‚เชฌ เชฎเซ‹เชŸเชพ เชธเช‚เชฆเซ‡เชถเชพเช“ เชฒเช–เชตเชพเชจเชพ เชชเซเชฐเชฏเชพเชธเชจเซ€ เชชเชฐเชฟเชธเซเชฅเชฟเชคเชฟเชจเซ‡ เชจเชฟเชฏเช‚เชคเซเชฐเชฟเชค เช•เชฐเชตเชพ เชฎเชพเชŸเซ‡เชจเชพ เชซเซ‡เชฐเชซเชพเชฐเชจเซ‹ เชธเชฎเชพเชตเซ‡เชถ เชฅเชพเชฏ เช›เซ‡. เชซเชฟเช•เซเชธเชจเซ‡ glibc 2.36 เช…เชจเซ‡ เชกเชฟเชธเซเชŸเซเชฐเชฟเชฌเซเชฏเซเชถเชจ เชชเซ‡เช•เซ‡เชœเซ‹ เชชเชฐ glibc เชจเซ€ เชœเซ‚เชจเซ€ เช†เชตเซƒเชคเซเชคเชฟเช“ เชธเชพเชฅเซ‡ เชฌเซ‡เช•เชชเซ‹เชฐเซเชŸ เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซเชฏเซเช‚ เชนเชคเซเช‚ เช•เชพเชฐเชฃ เช•เซ‡ เชซเชฟเช•เซเชธเซ‡ เชนเซ€เชช เชฒเซ€เช• เชจเชฌเชณเชพเชˆ CVE-2022-39046เชจเซ‡ เชธเช‚เชฌเซ‹เชงเชฟเชค เช•เชฐเซเชฏเซเช‚ เชนเชคเซเช‚. เชคเซ‡ เชฌเชนเชพเชฐ เช†เชตเซเชฏเซเช‚ เช›เซ‡ เช•เซ‡ เชฌเชฟเชจ-เช–เชคเชฐเชจเชพเช• เชจเชฌเชณเชพเชˆเชจเซ‡ เช เซ€เช• เช•เชฐเชตเชพเชฅเซ€ เชเช• เช—เช‚เชญเซ€เชฐ เชธเชฎเชธเซเชฏเชพเชจเซ‹ เชฆเซ‡เช–เชพเชต เชฅเชฏเซ‹. เชจเซ‹เช‚เชงเชจเซ€เชฏ เช›เซ‡ เช•เซ‡ libc 5.4.3 เชฒเชพเช‡เชฌเซเชฐเซ‡เชฐเซ€เชฎเชพเช‚เชฅเซ€ vsyslog() เชซเช‚เช•เซเชถเชจเชฎเชพเช‚ เชธเชฎเชพเชจ เชจเชฌเชณเชพเชˆเชจเซ€ เชœเชพเชฃ 1997 เชฎเชพเช‚ เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซ€ เชนเชคเซ€.

เชกเซ‡เชฌเชฟเชฏเชจ 12/13, เช‰เชฌเซเชจเซเชŸเซ 23.04/23.10 เช…เชจเซ‡ เชซเซ‡เชกเซ‹เชฐเชพ 37-39 เชฎเชพเช‚ เชจเชฌเชณเชพเชˆเชจเซ€ เชชเซเชทเซเชŸเชฟ เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซ€ เช›เซ‡. เชฌเชฟเชจเชชเซเชฐเชพเชชเซเชคเชฟเชนเซ€เชค เชตเชชเชฐเชพเชถเช•เชฐเซเชคเชพ เชฆเซเชตเชพเชฐเชพ เชฐเซ‚เชŸ เช…เชงเชฟเช•เชพเชฐเซ‹ เชฎเซ‡เชณเชตเชตเชพ เชฎเชพเชŸเซ‡เชจเซเช‚ เชถเซ‹เชทเชฃ เชกเชฟเชซเซ‹เชฒเซเชŸ เชฐเซ‚เชชเชฐเซ‡เช–เชพเช‚เช•เชจเชฎเชพเช‚ เชธเช•เซเชฐเชฟเชฏ เชฅเชฏเซ‡เชฒ เชคเชฎเชพเชฎ เชธเซเชฐเช•เซเชทเชพ เชชเชฆเซเชงเชคเชฟเช“ เชธเชพเชฅเซ‡ เชธเช‚เชชเซ‚เชฐเซเชฃเชชเชฃเซ‡ เช…เชชเชกเซ‡เชŸ เชฅเชฏเซ‡เชฒ Fedora 38 เชชเชฐเซเชฏเชพเชตเชฐเชฃเชฎเชพเช‚ เชฆเชฐเซเชถเชพเชตเชตเชพเชฎเชพเช‚ เช†เชตเซเชฏเซเช‚ เชนเชคเซเช‚. เชจเชฌเชณเชพเชˆเชจเซ‹ เชฎเชพเชคเซเชฐ เชธเซเชฅเชพเชจเชฟเช• เชฐเซ€เชคเซ‡ เช‰เชชเชฏเซ‹เช— เช•เชฐเซ€ เชถเช•เชพเชฏ เช›เซ‡, เช•เชพเชฐเชฃ เช•เซ‡ เชคเซ‡เชจเซ‡ 1024 เชฌเชพเชˆเชŸ เช•เชฐเชคเชพเช‚ เชตเชงเซ argv[0] เชชเซ‡เชฐเชพเชฎเซ€เชŸเชฐ เช…เชฅเชตเชพ เช“เชชเชจเชฒเซ‹เช—() เชซเช‚เช•เซเชถเชจ เชฎเชพเชŸเซ‡ ident เชฆเชฒเซ€เชฒ เชฆเซเชตเชพเชฐเชพ เชชเชธเชพเชฐ เช•เชฐเชตเชพเชจเซ€ เชœเชฐเซ‚เชฐ เช›เซ‡.

เชจเชฌเชณเชพเชˆ เชธเซเชงเชพเชฐเชฃเชพเชจเซ‡ เช•เซ‡เชŸเชฒเชพเช• เช•เชฒเชพเช•เซ‹ เชชเชนเซ‡เชฒเชพ Glibc เช•เซ‹เชกเชฌเซ‡เชเชฎเชพเช‚ เชธเชฎเชพเชตเชตเชพเชฎเชพเช‚ เช†เชตเซเชฏเซเช‚ เชนเชคเซเช‚ เช…เชจเซ‡ เชคเซ‡ เช†เชตเชคเซ€เช•เชพเชฒเชจเชพ Glibc 2.39 เช…เชชเชกเซ‡เชŸเชจเซ‹ เชญเชพเช— เชนเชถเซ‡, เชคเซ‡เชจเซ€ เชธเชพเชฅเซ‡ เชฌเซ‡ เชตเชงเซ เชจเชฌเชณเชพเชˆเช“ (CVE-2023-6779, CVE-2023-6780) เชฎเชพเชŸเซ‡ เชชเชฃ เชซเชฟเช•เซเชธ เชฅเชถเซ‡, เชœเซ‡ __vsyslog_internal() เชจเซ‡ เชชเชฃ เช…เชธเชฐ เช•เชฐเซ‡ เช›เซ‡. เช•เซ‹เชก เช…เชจเซ‡ เชฌเชซเชฐ เช“เชตเชฐเชซเซเชฒเซ‹ เชคเชฐเชซ เชฆเซ‹เชฐเซ€ เชœเชพเชฏ เช›เซ‡. เชตเชงเซเชฎเชพเช‚, Qualys เช qsort() เชซเช‚เช•เซเชถเชจเชจเชพ เช…เชฎเชฒเซ€เช•เชฐเชฃเชฎเชพเช‚ เชฌเชซเชฐ เช“เชตเชฐเชซเซเชฒเซ‹เชจเซ‡ เช“เชณเช–เชตเชพ เชตเชฟเชถเซ‡ เชšเซ‡เชคเชตเชฃเซ€ เช†เชชเซ€ เชนเชคเซ€, เชœเซ‡ Glibc เชกเซ‡เชตเชฒเชชเชฐเซเชธ เชฆเซเชตเชพเชฐเชพ เชจเชฌเชณเชพเชˆ เชคเชฐเซ€เช•เซ‡ เชตเชฐเซเช—เซ€เช•เซƒเชค เช•เชฐเชตเชพเชฎเชพเช‚ เช†เชตเซ€ เชจ เชนเชคเซ€, เช•เชพเชฐเชฃ เช•เซ‡ เชถเซ‹เชทเชฃเชฎเชพเช‚ qsort เช•เซ‰เชฒ เช•เชฐเชคเซ€ เชตเช–เชคเซ‡ เชฆเชฒเซ€เชฒ เชคเชฐเซ€เช•เซ‡ เชฌเชฟเชจเชชเชฐเช‚เชชเชฐเชพเช—เชค เชธเชฐเช–เชพเชฎเชฃเซ€ เช•เชพเชฐเซเชฏเชจเซ‹ เช‰เชชเชฏเซ‹เช— เช•เชฐเชตเชพเชจเซ‹ เชธเชฎเชพเชตเซ‡เชถ เชฅเชพเชฏ เช›เซ‡, เชœเซ‡ เชคเชซเชพเชตเชค เชชเชฐเชค เช•เชฐเซ‡ เช›เซ‡. เชคเซเชฒเชจเชพเชคเซเชฎเช• เชชเชฐเชฟเชฎเชพเชฃเซ‹เชฎเชพเช‚เชฅเซ€.

เชกเชฟเชธเซเชŸเซเชฐเชฟเชฌเซเชฏเซเชถเชจเชฎเชพเช‚ เชจเชฌเชณเชพเชˆเช“เชจเซ‡ เชฆเซ‚เชฐ เช•เชฐเชตเชพเชจเซ€ เชธเซเชฅเชฟเชคเชฟเชจเซเช‚ เชฎเซ‚เชฒเซเชฏเชพเช‚เช•เชจ เช† เชชเซƒเชทเซเช เซ‹ เชชเชฐ เช•เชฐเซ€ เชถเช•เชพเชฏ เช›เซ‡: เชกเซ‡เชฌเชฟเชฏเชจ, เช‰เชฌเซเชจเซเชŸเซ, SUSE, RHEL, Fedora, Arch Linux, Gentoo, Slackware. เชคเชฎเซ‡ เชจเซ€เชšเซ‡เชจเชพ เช†เชฆเซ‡เชถ เชธเชพเชฅเซ‡ เชคเชฎเชพเชฐเซ€ เชธเชฟเชธเซเชŸเชฎเชจเซ€ เชจเชฌเชณเชพเชˆ เชชเซเชฐเชคเซเชฏเซ‡เชจเซ€ เชจเชฌเชณเชพเชˆเชจเซ‡ เชšเช•เชพเชธเซ€ เชถเช•เซ‹ เช›เซ‹: $ (exec -a "`printf '%0128000x' 1`" /usr/bin/su < /dev/null)
เชธเซ‹เชฐเซเชธ: opennet.ru

เชเช• เชŸเชฟเชชเซเชชเชฃเซ€ เช‰เชฎเซ‡เชฐเซ‹