פגיעות מרחוק בערימת IPv6 של OpenBSD

בתהליך הרקע slaacd, האחראי על תצורה אוטומטית של כתובת IPv6 (IPv6 Stateless Address Autoconfiguration, RFC 4862) ב-OpenBSD, זוהתה פגיעות שמובילה לגלישה במאגר בעת קבלת פרסומת לנתב IPv6 שתוכננה במיוחד (RA, Router Advertisement) .

בתחילה, פונקציונליות התצורה האוטומטית של כתובת IPv6 יושמה ברמת הליבה, אך החל מ-OpenBSD 6.2 היא הועברה לתהליך slaacd נפרד ללא פריבילגיה. תהליך זה אחראי על שליחת הודעות RS (Router Solicitation) וניתוח תגובות RA (Router Advertisement) עם מידע על פרמטרי הנתב והחיבור לרשת.

בפברואר, slaacd תיקן באג שגרם לו לקרוס אם צוינו 7 שרתים ברשימת RDNSS (שרתי DNS רקורסיביים). פיקוח זה משך את תשומת לבם של חוקרים בלתי תלויים שניסו לבחון את קוד slaacd עבור שגיאות אחרות המתרחשות בעת ניתוח שדות בהודעות RA. הניתוח הראה שיש בעיה נוספת בקוד, המתבטאת בעיבוד שדה ה-DNSSL (DNS Search List), הכולל רשימות של שמות מתחם ותבניות מארח עבור DNS.

כל שם ברשימת ה-DNSSL מקודד באמצעות מפריד ריק ותגים מתערבים של בת אחד שקובעים את גודל הנתונים שאחריו. הפגיעות נגרמת מהעובדה שבקוד ניתוח הרשימה, שדה עם גודל מועתק למשתנה עם סוג מספר שלם חתום ("len = data[pos]"). בהתאם לכך, אם צוין ערך בשדה עם קבוצת הסיביות המשמעותית ביותר, ערך זה ייתפס באופרטור המותנה כמספר שלילי והבדיקה של הגודל המרבי המותר ("אם (len > 63 || len + pos + 1 > datalen) {“) לא יעבוד, מה שיגרום לקריאה ל-memcpy עם פרמטר שגודל הנתונים שהועתקו חורג מגודל המאגר.

מקור: OpenNet.ru