È stata rilevata una vulnerabilità nella libreria standard C Glibc (CVE-2024-2961), che porta a un overflow di buffer durante la conversione di stringhe appositamente formattate in codifica ISO-2022-CN-EXT con la funzione iconv(). Il ricercatore che ha individuato il problema prevede di presentare una relazione alla conferenza OffensiveCon il 10 maggio, dove si menziona la possibilità di sfruttare la vulnerabilità tramite applicazioni in PHP. Si afferma che il problema colpisce l'intero ecosistema PHP e alcune applicazioni.
Durante la conversione di stringhe in codifica UCS4, in conformità ai requisiti della RFC 1922, la libreria aggiunge alcuni caratteri di escape che evidenziano le parti della stringa in cui la codifica è stata modificata. La vulnerabilità è causata da un controllo errato dei limiti dei buffer interni da parte della funzione iconv(), il che può portare a un overflow del buffer massimo di 4 byte. Durante l'overflow, potrebbero essere scritti valori fissi specifici, come ‘$+I’, ‘$+J’, ‘$+K’, ‘$+L’, ‘$+M’ e ‘$*H’. Anche se sfruttare una simile vulnerabilità per eseguire codice sembra poco probabile, secondo quanto dichiarato dal ricercatore che ha individuato il problema, ciò è stato sufficiente per preparare diversi prototipi di exploit per un attacco remoto su applicazioni PHP, portando all'esecuzione di codice.
La vulnerabilità si è manifestata dal 2000 ed è stata risolta nella versione in sviluppo di Glibc 2.40. La correzione è inoltre disponibile sotto forma di patch per le versioni di Glibc da 2.32 a 2.39. Nei pacchetti è possibile monitorare la correzione della vulnerabilità alle seguenti pagine: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.
Fonte: opennet.ru
