A Claroty és a JFrog kutatói közzétették a beágyazott eszközökben széles körben használt BusyBox csomag biztonsági auditjának eredményeit, amely szabványos UNIX segédprogramokat kínál egyetlen végrehajtható fájlba csomagolva. A vizsgálat során 14 sérülékenységet azonosítottak, amelyeket a BusyBox 1.34 augusztusi kiadásában már javítottak. Szinte minden probléma ártalmatlan és megkérdőjelezhető a valós támadások során történő felhasználás szempontjából, mivel ezekhez olyan segédprogramok szükségesek, amelyek kívülről érkező érvekkel rendelkeznek.
Külön biztonsági rést jelent a CVE-2021-42374, amely szolgáltatásmegtagadást tesz lehetővé, amikor egy speciálisan kialakított tömörített fájlt dolgoz fel az unlzma segédprogrammal, illetve a CONFIG_FEATURE_SEAMLESS_LZMA opciókkal történő összeállítás esetén bármely más BusyBox összetevővel, beleértve tar, unzip, rpm, dpkg, lzma és man .
A CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 és CVE-2021-42377 biztonsági rések szolgáltatásmegtagadást okozhatnak, de szükségessé teszik a támadó által megadott paraméterekkel rendelkező man, ash és hush segédprogramok futtatását. A CVE-2021-42378 - CVE-2021-42386 közötti biztonsági rések hatással vannak az awk segédprogramra, és potenciálisan kódfuttatáshoz vezethetnek, de ehhez a támadónak gondoskodnia kell arról, hogy egy bizonyos minta awk-ban legyen végrehajtva (az awk futtatása szükséges a kapott adatokkal támadótól).
Ezenkívül egy biztonsági rést (CVE-2021-43523) is észlelhet az uclibc és uclibc-ng könyvtárakban, ami abból adódik, hogy a gethostbyname(), getaddrinfo(), gethostbyaddr() és getnameinfo() függvények elérésekor a A DNS-kiszolgáló nem ellenőrzi és nem adja vissza a tartománynevet. Például egy bizonyos feloldási kérésre válaszul egy támadó által vezérelt DNS-kiszolgáló olyan gazdagépeket küldhet vissza, mint a „ alert(‘xss’) .attacker.com", és azok változatlanul visszakerülnek néhány programba, amely tisztítás nélkül képes megjeleníteni őket a webes felületen. A problémát az uclibc-ng 1.0.39 kiadásában javítottuk a visszaadott tartománynevek helyességének ellenőrzésére szolgáló kód hozzáadásával, a Glibchez hasonlóan implementálva.
Forrás: opennet.ru