I ricercatori delle aziende Claroty e JFrog hanno pubblicato i risultati di un audit sulla sicurezza del pacchetto BusyBox, ampiamente utilizzato nei dispositivi embedded e che offre un insieme di utilità standard UNIX in un singolo file eseguibile. Durante la verifica sono state rilevate 14 vulnerabilità, già risolte nella versione di agosto di BusyBox 1.34. Quasi tutti i problemi sono considerati a basso rischio e discutibili in termini di applicabilità in attacchi reali, poiché richiedono l'esecuzione delle utilità con argomenti forniti esternamente.
Si segnala in particolare la vulnerabilità CVE-2021-42374, che consente di provocare un'interruzione del servizio durante l'elaborazione di un file compresso appositamente formattato dall'utilità unlzma. In caso di compilazione con l'opzione CONFIG_FEATURE_SEAMLESS_LZMA, ciò può avvenire anche con altri componenti di BusyBox, tra cui tar, unzip, rpm, dpkg, lzma e man.
Le vulnerabilità CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 e CVE-2021-42377 consentono di generare un'interruzione del servizio, ma richiedono l'esecuzione delle utilità man, ash e hush con parametri specificati dall'attaccante. Le vulnerabilità da CVE-2021-42378 a CVE-2021-42386 riguardano l'utilità awk e possono potenzialmente causare l'esecuzione di codice, ma per farlo l'attaccante deve riuscire a far eseguire ad awk uno specifico modello (è necessario eseguire awk passando come primo argomento della riga di comando dati ricevuti dall'attaccante).
In aggiunta, si può notare la vulnerabilità (CVE-2021-43523) nelle librerie uclibc e uclibc-ng, legata al fatto che durante l'accesso alle funzioni gethostbyname(), getaddrinfo(), gethostbyaddr() e getnameinfo() non viene effettuato il controllo e la pulizia del nome di dominio restituito dal server DNS. Ad esempio, in risposta a una certa richiesta di risoluzione, un server DNS controllato da un malintenzionato può restituire host del tipo ".attacker.com" e questi vengono restituiti inalterati a un programma che, senza pulizia, potrebbe visualizzarli nell'interfaccia web. Il problema è stato risolto nella versione uclibc-ng 1.0.39 tramite l'aggiunta di codice per la verifica della correttezza dei valori restituiti. di nomi di dominio, realizzato con un approccio simile a Glibc.
Fonte: opennet.ru
