Nella libreria zlib è stata individuata una vulnerabilità (CVE-2018-25032) che porta a un buffer overflow durante il tentativo di compressione di una sequenza di caratteri appositamente preparata nei dati in ingresso. Nel suo stato attuale, i ricercatori hanno dimostrato la possibilità di causare l'arresto anomalo del processo. Non è ancora chiaro se la problematica possa avere conseguenze più gravi.
La vulnerabilità si manifesta a partire dalla versione zlib 1.2.2.2 e colpisce anche l'ultima release zlib 1.2.11. È notevole che la patch per la correzione della vulnerabilità sia stata proposta già nel 2018, ma gli sviluppatori non l'hanno presa in considerazione e non è stata rilasciata una versione correttiva (la libreria zlib è stata aggiornata l'ultima volta nel 2017). La correzione non è ancora stata inclusa nei pacchetti offerti dai vari distributori. È possibile seguire la pubblicazione delle correzioni da parte dei distributori su queste pagine: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD. La libreria zlib-ng non è soggetta al problema.
La vulnerabilità si manifesta quando un numero elevato di corrispondenze da comprimere appare nel flusso in ingresso, a cui viene applicata la compressione basata su codici di Huffman fissi. In determinate circostanze, il contenuto del buffer intermedio, dove viene inserito il risultato compresso, può sovrapporsi alla memoria in cui è memorizzata la tabella delle frequenze dei caratteri. Di conseguenza, si osserva la formazione di dati compressi errati e il crash a causa della scrittura oltre il limite del buffer.
La vulnerabilità può essere sfruttata solo utilizzando una strategia di compressione basata su codici di Huffman fissi. Tale strategia viene selezionata quando si attiva esplicitamente l'opzione Z_FIXED nel codice (un esempio di sequenza che porta al crash utilizzando l'opzione Z_FIXED). A giudicare dal codice, la strategia Z_FIXED può anche essere scelta automaticamente se gli alberi ottimali e statici calcolati per i dati hanno la stessa dimensione.
Non è chiaro se possano essere determinate le condizioni per sfruttare la vulnerabilità quando si utilizza la strategia di compressione Z_DEFAULT_STRATEGY, applicata per impostazione predefinita. Se non è possibile, la vulnerabilità sarà limitata a sistemi specifici in cui è esplicitamente utilizzata l'opzione Z_FIXED. In caso contrario, il danno derivante dalla vulnerabilità potrebbe essere molto significativo, poiché la libreria zlib è uno standard de facto e viene utilizzata in molti progetti popolari, inclusi il kernel Linux, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg, rpm, Git, PostgreSQL, MySQL, ecc.
Fonte: opennet.ru
