A Claroty és a JFrog kutatói közzétették a BusyBox csomag biztonsági auditjának eredményeit, amelyet széles körben használnak beágyazott eszközökben, és amely egyetlen végrehajtható fájl formájában kínálja a standard UNIX segédprogramok készletét. Az ellenőrzés során 14 sebezhetőséget azonosítottak, amelyeket már orvosoltak a BusyBox 1.34 augusztusi kiadásában. Szinte minden probléma nem veszélyes, és kétséges a valós támadásokban való alkalmazás szempontjából, mivel külső értékekkel kell futtatni az eszközöket.
Különösen kiemelkedik a CVE-2021-42374 sebezhetőség, amely lehetővé teszi a szolgáltatásmegtagadást egy speciálisan létrehozott tömörített fájl unraveledzése során az unlzma segédprogram által, és a CONFIG_FEATURE_SEAMLESS_LZMA opciók mellett bármely más BusyBox komponenst is érint, beleértve a tar-t, unzip-et, rpm-t, dpkg-t, lzma-t és man-t.
A CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 és CVE-2021-42377 sebezhetőségek szolgáltatásmegtagadást okozhatnak, de a man, ash és hush segédprogramokat támadó által megadott paraméterekkel kell futtatni. A CVE-2021-42378-tól CVE-2021-42386-ig terjedő sebezhetőségek az awk segédprogramot érintik, és potenciálisan kód végrehajtásához vezethetnek, de ehhez a támadónak el kell érnie, hogy az awk egy adott mintát hajtson végre (az awk-t a parancssor első argumentumában a támadótól származó adatok átadásával kell futtatni).
További megjegyzésre méltó a CVE-2021-43523 sebezhetőség az uclibc és uclibc-ng könyvtárakban, amely összefügg azzal, hogy a gethostbyname(), getaddrinfo(), gethostbyaddr() és getnameinfo() funkciók hívásakor nem ellenőrzik és tisztítják a DNS-szerver által visszaadott domain nevet. Például egy adott feloldási kérésre a támadó által irányított DNS-szerver olyan hostokat adhat vissza, mint a ".attacker.com", és ezek változatlan formában kerülnek visszaadásra valamilyen programnak, amely ellenőrzés nélkül megjelenítheti őket a webes felületén. A probléma orvosolva lett az uclibc-ng 1.0.39-es kiadásában, a visszatérő értékek érvényességének ellenőrzésére írt kóddal. domain nevekkel, amely a Glibc-hez hasonló elven lett megvalósítva.
Forrás: opennet.ru
