Istraživači iz Clarotyja i JFroga objavili su rezultate sigurnosne revizije paketa BusyBox, široko korištenog u ugrađenim uređajima i koji nudi skup standardnih UNIX uslužnih programa pakiranih u jednu izvršnu datoteku. Tijekom skeniranja identificirano je 14 ranjivosti koje su već popravljene u kolovozskom izdanju BusyBoxa 1.34. Gotovo svi problemi su bezopasni i upitni sa stajališta korištenja u stvarnim napadima, budući da zahtijevaju pokretanje uslužnih programa s argumentima dobivenim izvana.
Zasebna ranjivost je CVE-2021-42374, koja vam omogućuje da izazovete uskraćivanje usluge prilikom obrade posebno dizajnirane komprimirane datoteke pomoću uslužnog programa unlzma, a u slučaju sklapanja s opcijama CONFIG_FEATURE_SEAMLESS_LZMA, također s bilo kojom drugom BusyBox komponentom, uključujući tar, raspakiraj, rpm, dpkg, lzma i man .
Ranjivosti CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 i CVE-2021-42377 mogu uzrokovati uskraćivanje usluge, ali zahtijevaju pokretanje uslužnih programa man, ash i hush s parametrima koje je odredio napadač. Ranjivosti CVE-2021-42378 do CVE-2021-42386 utječu na uslužni program awk i potencijalno mogu dovesti do izvršenja koda, ali za to napadač mora osigurati da se određeni uzorak izvrši u awku (potrebno je pokrenuti awk s primljenim podacima od napadača).
Osim toga, također možete primijetiti ranjivost (CVE-2021-43523) u uclibc i uclibc-ng bibliotekama, zbog činjenice da prilikom pristupa funkcijama gethostbyname(), getaddrinfo(), gethostbyaddr() i getnameinfo(), naziv domene nije provjeren i očišćeno ime koje vraća DNS poslužitelj. Na primjer, kao odgovor na određeni zahtjev za razrješenjem, DNS poslužitelj kojim upravlja napadač može vratiti hostove poput “alert('xss').attacker.com” i oni će biti vraćeni nepromijenjeni nekom programu koji ih bez čišćenja može prikazati u web sučelju. Problem je riješen u izdanju uclibc-ng 1.0.39 dodavanjem koda za provjeru ispravnosti vraćenih naziva domena, implementiranog slično Glibcu.
Izvor: opennet.ru