Peneliti saka Claroty lan JFrog wis nerbitake asil audit keamanan BusyBox, paket sing akeh digunakake ing piranti sing dipasang sing nawakake sakumpulan utilitas UNIX standar sing dikemas minangka file eksekusi tunggal. Audit kasebut ngenali 14 kerentanan sing wis diatasi ing rilis Agustus BusyBox 1.34. Meh kabeh masalah ora mbebayani lan bisa dipertanyakan saka sudut pandang sing digunakake ing serangan nyata, amarga mbutuhake sarana mlaku kanthi argumen sing ditampa saka njaba.
Dhewe, kerentanan CVE-2021-42374 dipilih, sing ngidini sampeyan nolak layanan nalika ngolah file kompres sing dirancang khusus kanthi sarana unlzma, lan ing kasus mbangun saka opsi CONFIG_FEATURE_SEAMLESS_LZMA, uga dening BusyBox liyane komponen, kalebu tar, unzip, rpm, dpkg, lzma lan man .
Kerentanan CVE-2021-42373, CVE-2021-42375, CVE-2021-42376, lan CVE-2021-42377 bisa nyebabake penolakan layanan, nanging mbutuhake utilitas man, ash, lan hush kanggo mbukak karo paramèter sing ditemtokake penyerang. . Kerentanan saka CVE-2021-42378 nganti CVE-2021-42386 mengaruhi utilitas awk lan bisa nyebabake eksekusi kode, nanging kanggo iki panyerang kudu nggawe pola tartamtu ing awk (perlu miwiti awk karo data sing ditampa. saka penyerang).
Kajaba iku, kerentanan (CVE-2021-43523) ing perpustakaan uclibc lan uclibc-ng uga bisa dicathet, ana hubungane karo kasunyatan sing nalika ngakses fungsi gethostbyname(), getaddrinfo(), gethostbyaddr() lan getnameinfo(), jeneng domain ora dicenthang lan diresiki jeneng bali dening server DNS. Contone, kanggo nanggepi panjalukan pemecahan tartamtu, server DNS sing dikontrol dening panyerang bisa ngasilake host saka formulir " alert(βxssβ) .attacker.com" lan padha bakal bali ora diganti kanggo sawetara program sing bisa nampilake ing antarmuka web tanpa reresik. Masalah kasebut wis diatasi ing release uclibc-ng 1.0.39 kanthi nambahake kode kanggo validasi jeneng domain sing bali, padha karo Glibc.
Source: opennet.ru