बिजीबॉक्स पैकेज के सुरक्षा विश्लेषण से 14 छोटी कमजोरियों का पता चलता है

क्लैरोटी और जेफ्रॉग के शोधकर्ताओं ने बिजीबॉक्स पैकेज के सुरक्षा ऑडिट के परिणाम प्रकाशित किए हैं, जो व्यापक रूप से एम्बेडेड उपकरणों में उपयोग किया जाता है और एकल निष्पादन योग्य फ़ाइल में पैक किए गए मानक यूनिक्स उपयोगिताओं के एक सेट की पेशकश करता है। स्कैन के दौरान, 14 कमजोरियों की पहचान की गई, जिन्हें बिजीबॉक्स 1.34 के अगस्त रिलीज में पहले ही ठीक कर दिया गया है। वास्तविक हमलों में उपयोग के दृष्टिकोण से लगभग सभी समस्याएं हानिरहित और संदिग्ध हैं, क्योंकि उन्हें बाहर से प्राप्त तर्कों के साथ उपयोगिताओं को चलाने की आवश्यकता होती है।

एक अलग भेद्यता CVE-2021-42374 है, जो आपको unlzma उपयोगिता के साथ विशेष रूप से डिज़ाइन की गई संपीड़ित फ़ाइल को संसाधित करते समय और CONFIG_FEATURE_SEAMLESS_LZMA विकल्पों के साथ असेंबली के मामले में, किसी भी अन्य बिजीबॉक्स घटकों सहित, सेवा से इनकार करने की अनुमति देती है। टार, अनज़िप, आरपीएम, डीपीकेजी, एलज़मा और मैन।

कमजोरियाँ CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 और CVE-2021-42377 सेवा से इनकार का कारण बन सकती हैं, लेकिन हमलावर द्वारा निर्दिष्ट मापदंडों के साथ मैन, ऐश और हश उपयोगिताओं को चलाने की आवश्यकता होती है। CVE-2021-42378 से CVE-2021-42386 तक कमजोरियाँ awk उपयोगिता को प्रभावित करती हैं और संभावित रूप से कोड निष्पादन का कारण बन सकती हैं, लेकिन इसके लिए हमलावर को यह सुनिश्चित करना होगा कि awk में एक निश्चित पैटर्न निष्पादित हो (प्राप्त डेटा के साथ awk चलाना आवश्यक है) हमलावर से)।

इसके अतिरिक्त, आप uclibc और uclibc-ng पुस्तकालयों में एक भेद्यता (CVE-2021-43523) भी नोट कर सकते हैं, इस तथ्य के कारण कि gethostbyname(), getaddrinfo(), gethostbyaddr() और getnameinfo() फ़ंक्शन तक पहुंचने पर, डोमेन नाम की जाँच नहीं की गई है और DNS सर्वर द्वारा साफ़ किया गया नाम लौटाया नहीं गया है। उदाहरण के लिए, एक निश्चित रिज़ॉल्यूशन अनुरोध के जवाब में, एक हमलावर द्वारा नियंत्रित DNS सर्वर "alert('xss').attacker.com" जैसे होस्ट लौटा सकता है और उन्हें कुछ प्रोग्राम में अपरिवर्तित लौटा दिया जाएगा। जो बिना सफ़ाई के उन्हें वेब इंटरफ़ेस में प्रदर्शित कर सकता है। लौटाए गए डोमेन नामों की शुद्धता की जांच करने के लिए कोड जोड़कर यूसीएलआईबीसी-एनजी 1.0.39 की रिलीज में समस्या को ठीक किया गया था, जिसे ग्लिबैक के समान ही लागू किया गया था।

स्रोत: opennet.ru