დისტანციური დაუცველობა OpenBSD IPv6 დასტაში

ფონურ პროცესში slaacd, რომელიც პასუხისმგებელია IPv6 მისამართის ავტოკონფიგურაციაზე (IPv6 მოქალაქეობის არმქონე მისამართის ავტოკონფიგურაცია, RFC 4862) OpenBSD-ში, გამოვლენილია დაუცველობა, რომელიც იწვევს ბუფერის გადაჭარბებას სპეციალურად შექმნილი IPv6 როუტერის რეკლამის მიღებისას (RA, როუტერის რეკლამა). .

თავდაპირველად, IPv6 მისამართების ავტოკონფიგურაციის ფუნქცია განხორციელდა ბირთვის დონეზე, მაგრამ დაწყებული OpenBSD 6.2-დან იგი გადავიდა ცალკე არაპრივილეგირებულ slaacd პროცესზე. ეს პროცესი პასუხისმგებელია RS (როუტერის მოთხოვნის) შეტყობინებების გაგზავნაზე და RA (როუტერის რეკლამა) პასუხების ანალიზზე როუტერისა და ქსელის კავშირის პარამეტრების შესახებ.

თებერვალში slaacd-მა გაასწორა შეცდომა, რამაც გამოიწვია მისი ავარია, თუ RDNSS (რეკურსიული DNS სერვერები) სიაში მითითებული იყო 7 სერვერი. ამ ზედამხედველობამ მიიპყრო დამოუკიდებელი მკვლევარების ყურადღება, რომლებიც ცდილობდნენ შეესწავლათ slaacd კოდი სხვა შეცდომებისთვის, რომლებიც წარმოიქმნება RA შეტყობინებებში ველების ანალიზისას. ანალიზმა აჩვენა, რომ კოდში არის კიდევ ერთი პრობლემა, რომელიც იჩენს თავს DNSSL (DNS Search List) ველის დამუშავებისას, რომელიც მოიცავს დომენის სახელების სიებს და ჰოსტის შაბლონებს DNS-ისთვის.

DNSSL სიაში თითოეული სახელი დაშიფრულია ნულოვანი გამიჯვნისა და შუალედური ერთბაიტიანი ტეგების გამოყენებით, რომლებიც განსაზღვრავენ შემდგომი მონაცემების ზომას. დაუცველობა გამოწვეულია იმით, რომ სიის ანალიზების კოდში, ზომის მქონე ველი კოპირებულია ცვლადში ხელმოწერილი მთელი რიცხვის ტიპით (“len = data[pos]”). შესაბამისად, თუ მნიშვნელობა მითითებულია ველში ყველაზე მნიშვნელოვანი ბიტების ნაკრებით, ეს მნიშვნელობა პირობით ოპერატორში აღიქმება, როგორც უარყოფითი რიცხვი და შემოწმება მაქსიმალური დასაშვები ზომისთვის (“if (len > 63 || len + pos + 1 > datalen) {“) არ იმუშავებს, რაც გამოიწვევს memcpy-ზე გამოძახებას პარამეტრით, რომლის კოპირებული მონაცემების ზომა აღემატება ბუფერის ზომას.

წყარო: opennet.ru