Peneliti dari Claroty dan JFrog telah mempublikasikan hasil audit keamanan paket BusyBox, yang banyak digunakan di perangkat tertanam dan menawarkan seperangkat utilitas UNIX standar yang dikemas dalam satu file yang dapat dieksekusi. Selama pemindaian, 14 kerentanan diidentifikasi, yang telah diperbaiki pada rilis BusyBox 1.34 bulan Agustus. Hampir semua masalah tidak berbahaya dan dipertanyakan dari sudut pandang penggunaan dalam serangan nyata, karena memerlukan menjalankan utilitas dengan argumen yang diterima dari luar.
Kerentanan terpisah adalah CVE-2021-42374, yang memungkinkan Anda menyebabkan penolakan layanan saat memproses file terkompresi yang dirancang khusus dengan utilitas unlzma, dan dalam kasus perakitan dengan opsi CONFIG_FEATURE_SEAMLESS_LZMA, juga dengan komponen BusyBox lainnya, termasuk tar, unzip, rpm, dpkg, lzma dan man .
Kerentanan CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 dan CVE-2021-42377 dapat menyebabkan penolakan layanan, tetapi memerlukan menjalankan utilitas man, ash, dan hush dengan parameter yang ditentukan oleh penyerang. Kerentanan CVE-2021-42378 hingga CVE-2021-42386 memengaruhi utilitas awk dan berpotensi menyebabkan eksekusi kode, tetapi untuk ini penyerang perlu memastikan bahwa pola tertentu dieksekusi di awk (perlu menjalankan awk dengan data yang diterima dari penyerang).
Selain itu, Anda juga dapat mencatat kerentanan (CVE-2021-43523) di perpustakaan uclibc dan uclibc-ng, karena fakta bahwa ketika mengakses fungsi gethostbyname(), getaddrinfo(), gethostbyaddr() dan getnameinfo(), nama domain tidak dicentang dan nama dibersihkan dikembalikan oleh server DNS. Misalnya, sebagai respons terhadap permintaan resolusi tertentu, server DNS yang dikendalikan oleh penyerang dapat mengembalikan host seperti β alert(βxssβ) .penyerang.com" dan mereka akan dikembalikan tanpa perubahan ke beberapa program yang, tanpa pembersihan, dapat menampilkannya di antarmuka web. Masalah ini diperbaiki pada rilis uclibc-ng 1.0.39 dengan menambahkan kode untuk memeriksa kebenaran nama domain yang dikembalikan, yang diterapkan serupa dengan Glibc.
Sumber: opennet.ru