Az OSTIF (Open Source Technology Improvement Fund), amelyet nyílt projektek biztonságának fokozására hoztak létre, közzétette a C++ nyelven használt Boost könyvtárak biztonsági auditjának eredményeit. Az auditot az OSTIF és az Amazon Web Services megrendelésére, a Shielder olasz cég végezte, és 7 problémát tárt fel, amelyek közül egy közepes, négy pedig alacsony veszélyességi szintű; két probléma informális megjegyzésként került közzétételre.
Az audit során vizsgált könyvtárak:
- Boost.Beast
- Boost.DLL
- Boost.Date_Time
- Boost.Filesystem
- Boost.GIL
- Boost.Graph
- Boost.JSON
- Boost.Program_Options
- Boost.Regex
- Boost.String_Algo
- Boost.URL
- Boost.UUID
Az azonosított problémák:
- A Boost.Beast könyvtárban talált sérülékenység lehetővé teszi a visszahelyezési és sortörés karakterek (CRLF) beillesztését a HTTP-fejlécekbe (ez használható a fejlécek felosztására). A probléma közepes veszélyességi szintet kapott.
- Verem túlcsordulás a Boost.Regex könyvtárban, amikor rekuzívan több end_line elem működését végzik a reguláris kifejezésben.
- Verem túlcsordulás a Boost.Regex könyvtárban, amikor rekuzívan több csoport elfogást és egyesítést végeznek.
- Verem túlcsordulás a Boost.Regex könyvtárban, amikor rekuzívan több nyitott zárójel műveletet hajtanak végre a formázási sztringben.
- Verem túlcsordulás a Boost.Graph könyvtárban, amikor rekuzívan több beágyazott gráf műveletet hajtanak végre.
- Assert aktiválás a Boost.Graph könyvtárból származó breadth_first_search funkcióban.
- Feldolgozatlan kivételek a Boost.DLL-ben.
Az audit során kapott információk alapján a Boost fejlesztőcsapata már négy problémát kijavított, és 15 fejlesztést hajtott végre a kód és a funkciók kiterjesztéséhez a fuzzing tesztelés során. A Boost.Beast-ben lévő fejlécek felosztásával kapcsolatos problémát még nem javították ki, és az informális ajánlásokat sem vették figyelembe.
Forrás: opennet.ru
