zlib માં નબળાઈ જે ખાસ રીતે રચાયેલ ડેટાને સંકુચિત કરતી વખતે થાય છે

zlib લાઇબ્રેરીમાં નબળાઈ (CVE-2018-25032) ઓળખવામાં આવી છે, જે ઇનકમિંગ ડેટામાં અક્ષરોના ખાસ તૈયાર ક્રમને સંકુચિત કરવાનો પ્રયાસ કરતી વખતે બફર ઓવરફ્લો તરફ દોરી જાય છે. તેના વર્તમાન સ્વરૂપમાં, સંશોધકોએ પ્રક્રિયાને અસામાન્ય રીતે સમાપ્ત કરવાની ક્ષમતા દર્શાવી છે. સમસ્યાના વધુ ગંભીર પરિણામો આવી શકે છે કે કેમ તેનો હજુ સુધી અભ્યાસ કરવામાં આવ્યો નથી.

આ નબળાઈ zlib વર્ઝન 1.2.2.2 થી શરૂ થાય છે અને વર્તમાન zlib રીલીઝ, 1.2.11 ને અસર કરે છે. એ નોંધવું યોગ્ય છે કે નબળાઈને સુધારવા માટે પેચ 2018 માં પ્રસ્તાવિત કરવામાં આવ્યો હતો, પરંતુ વિકાસકર્તાઓએ તેને અવગણ્યું અને સુધારાત્મક રીલીઝ રીલીઝ કરી નથી (zlib લાઇબ્રેરી છેલ્લે 2017 માં અપડેટ કરવામાં આવી હતી). આ સુધારો હજુ સુધી વિતરણ પેકેજોમાં શામેલ નથી. તમે નીચેના પૃષ્ઠો પર વિતરણો દ્વારા પેચના પ્રકાશનને ટ્રેક કરી શકો છો: Debian, RHEL, ફેડોરા, SUSE, Ubuntu, કમાન Linux, OpenBSD, FreeBSD, NetBSD. zlib-ng લાઇબ્રેરી આ સમસ્યાથી પ્રભાવિત નથી.

જો ઇનપુટ સ્ટ્રીમમાં પેક કરવા માટે મોટી સંખ્યામાં મેચો હોય તો નબળાઈ થાય છે, જેમાં નિશ્ચિત હફમેન કોડના આધારે પેકિંગ લાગુ કરવામાં આવે છે. ચોક્કસ સંજોગોમાં, મધ્યવર્તી બફરની સામગ્રી જેમાં સંકુચિત પરિણામ મૂકવામાં આવે છે તે મેમરીને ઓવરલેપ કરી શકે છે જેમાં પ્રતીક આવર્તન કોષ્ટક સંગ્રહિત છે. પરિણામે, ખોટો સંકુચિત ડેટા જનરેટ થાય છે અને બફર બાઉન્ડ્રીની બહાર લખવાને કારણે ક્રેશ થાય છે.

નિશ્ચિત હફમેન કોડ્સ પર આધારિત કમ્પ્રેશન વ્યૂહરચનાનો ઉપયોગ કરીને નબળાઈનો ઉપયોગ કરી શકાય છે. કોડમાં Z_FIXED વિકલ્પ સ્પષ્ટ રીતે સક્ષમ હોય ત્યારે સમાન વ્યૂહરચના પસંદ કરવામાં આવે છે (એક ક્રમનું ઉદાહરણ જે Z_FIXED વિકલ્પનો ઉપયોગ કરતી વખતે ક્રેશ તરફ દોરી જાય છે). કોડ દ્વારા અભિપ્રાય આપતા, Z_FIXED વ્યૂહરચના પણ આપમેળે પસંદ કરી શકાય છે જો ડેટા માટે ગણતરી કરેલ શ્રેષ્ઠ અને સ્થિર વૃક્ષોનું કદ સમાન હોય.

ડિફોલ્ટ Z_DEFAULT_STRATEGY કમ્પ્રેશન વ્યૂહરચનાનો ઉપયોગ કરીને નબળાઈનો ઉપયોગ કરી શકાય છે કે કેમ તે હજુ સ્પષ્ટ નથી. જો નહીં, તો નબળાઈ ચોક્કસ સિસ્ટમો સુધી મર્યાદિત રહેશે જે સ્પષ્ટપણે Z_FIXED વિકલ્પનો ઉપયોગ કરે છે. જો એમ હોય, તો નબળાઈથી થતું નુકસાન ખૂબ જ નોંધપાત્ર હોઈ શકે છે, કારણ કે zlib લાઇબ્રેરી એ વાસ્તવિક ધોરણ છે અને કર્નલ સહિત ઘણા લોકપ્રિય પ્રોજેક્ટ્સમાં તેનો ઉપયોગ થાય છે. Linux, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg, rpm, Git, PostgreSQL, MySQL, વગેરે.

સોર્સ: opennet.ru