È stata identificata una vulnerabilità nella libreria zlib (CVE-2018-25032) che porta a un overflow del buffer durante il tentativo di comprimere una sequenza di caratteri appositamente preparata nei dati in ingresso. Nella situazione attuale, i ricercatori hanno dimostrato la possibilità di causare un crash del processo. Non è ancora stato studiato se il problema possa avere conseguenze più gravi.
La vulnerabilità si manifesta a partire dalla versione zlib 1.2.2.2 e interessa anche la più recente versione zlib 1.2.11. È interessante notare che una patch per correggere la vulnerabilità è stata proposta già nel 2018, ma gli sviluppatori non vi hanno prestato attenzione e non è stata rilasciata una versione correttiva (l'ultima volta che la libreria zlib è stata aggiornata è stato nel 2017). La correzione non è stata ancora inclusa nei pacchetti offerti dalle distribuzioni. È possibile monitorare la pubblicazione delle correzioni da parte delle distribuzioni su queste pagine: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD. La libreria zlib-ng non è soggetta al problema.
La vulnerabilità si manifesta se nel flusso di ingresso si trovano un gran numero di corrispondenze da comprimere, a cui viene applicata la compressione basata su codici di Huffman fissi. In determinate circostanze, il contenuto del buffer intermedio, in cui viene posizionato il risultato compresso, può sovrapporsi alla memoria in cui è memorizzata la tabella delle frequenze dei caratteri. Di conseguenza, si osserva la formazione di dati compressi non corretti e un crash dovuto alla scrittura oltre il limite del buffer.
La vulnerabilità può essere sfruttata solo utilizzando una strategia di compressione basata su codici di Huffman fissi. Tale strategia viene scelta se si attiva esplicitamente l'opzione Z_FIXED nel codice (esempio di una sequenza che porta a un crash utilizzando l'opzione Z_FIXED). A quanto pare, nel codice, la strategia Z_FIXED può essere scelta automaticamente se gli alberi ottimali e statici calcolati per i dati hanno la stessa dimensione.
Non è chiaro se possano essere stabilite condizioni per sfruttare la vulnerabilità utilizzando la strategia di compressione Z_DEFAULT_STRATEGY, applicata di default. Se non è così, la vulnerabilità sarà limitata a sistemi specifici in cui è esplicitamente utilizzata l'opzione Z_FIXED. Se sì, il danno derivante dalla vulnerabilità potrebbe essere molto significativo, poiché la libreria zlib è uno standard de facto ed è utilizzata in molti progetti popolari, tra cui il kernel Linux, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg, rpm, Git, PostgreSQL, MySQL, ecc.
Fonte: opennet.ru
