ភាពងាយរងគ្រោះនៅក្នុង zlib ដែលកើតឡើងនៅពេលបង្ហាប់ទិន្នន័យដែលបានរចនាជាពិសេស

ភាពងាយរងគ្រោះ (CVE-2018-25032) ត្រូវបានគេកំណត់អត្តសញ្ញាណនៅក្នុងបណ្ណាល័យ zlib ដែលនាំឱ្យមានការហៀរសំបោរនៅពេលព្យាយាមបង្រួមតួអក្សរដែលបានរៀបចំជាពិសេសនៅក្នុងទិន្នន័យចូល។ នៅក្នុងទម្រង់បច្ចុប្បន្នរបស់វា អ្នកស្រាវជ្រាវបានបង្ហាញពីសមត្ថភាពក្នុងការបណ្តាលឱ្យដំណើរការមួយដើម្បីបញ្ចប់ដំណើរការខុសប្រក្រតី។ ថាតើបញ្ហានេះអាចមានផលវិបាកធ្ងន់ធ្ងរជាងនេះឬអត់ មិនទាន់ត្រូវបានសិក្សានៅឡើយ។

ភាពងាយរងគ្រោះលេចឡើងដោយចាប់ផ្តើមពីកំណែ zlib 1.2.2.2 និងប៉ះពាល់ដល់ការចេញផ្សាយបច្ចុប្បន្នរបស់ zlib 1.2.11 ផងដែរ។ គួរកត់សម្គាល់ថា បំណះដើម្បីកែភាពងាយរងគ្រោះត្រូវបានស្នើឡើងក្នុងឆ្នាំ 2018 ប៉ុន្តែអ្នកអភិវឌ្ឍន៍មិនបានយកចិត្តទុកដាក់ចំពោះវា ហើយមិនបានចេញផ្សាយការកែសំរួល (បណ្ណាល័យ zlib ត្រូវបានធ្វើបច្ចុប្បន្នភាពចុងក្រោយក្នុងឆ្នាំ 2017)។ ការ​ជួសជុល​ក៏​មិន​ទាន់​បាន​រួម​បញ្ចូល​ក្នុង​កញ្ចប់​ដែល​ផ្តល់​ជូន​ដោយ​ការ​ចែកចាយ​ដែរ។ អ្នកអាចតាមដានការបោះពុម្ពផ្សាយនៃការជួសជុលដោយការចែកចាយនៅលើទំព័រទាំងនេះ៖ Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD ។ បណ្ណាល័យ zlib-ng មិនត្រូវបានប៉ះពាល់ដោយបញ្ហាទេ។

ភាពងាយរងគ្រោះកើតឡើងប្រសិនបើស្ទ្រីមបញ្ចូលមានការប្រកួតមួយចំនួនធំដែលត្រូវវេចខ្ចប់ ដែលការវេចខ្ចប់ត្រូវបានអនុវត្តដោយផ្អែកលើលេខកូដ Huffman ថេរ។ នៅក្រោមកាលៈទេសៈណាមួយ ខ្លឹមសារនៃសតិបណ្ដោះអាសន្នកម្រិតមធ្យម ដែលលទ្ធផលដែលបានបង្ហាប់ត្រូវបានដាក់អាចត្រួតលើអង្គចងចាំដែលតារាងប្រេកង់និមិត្តសញ្ញាត្រូវបានរក្សាទុក។ ជាលទ្ធផល ទិន្នន័យដែលបានបង្ហាប់មិនត្រឹមត្រូវត្រូវបានបង្កើត ហើយគាំងដោយសារតែការសរសេរនៅខាងក្រៅព្រំដែនសតិបណ្ដោះអាសន្ន។

ភាពងាយរងគ្រោះអាចត្រូវបានកេងប្រវ័ញ្ចដោយប្រើយុទ្ធសាស្ត្របង្ហាប់ដោយផ្អែកលើកូដ Huffman ថេរ។ យុទ្ធសាស្រ្តស្រដៀងគ្នាត្រូវបានជ្រើសរើសនៅពេលដែលជម្រើស Z_FIXED ត្រូវបានបើកយ៉ាងច្បាស់លាស់នៅក្នុងកូដ (ឧទាហរណ៍នៃលំដាប់ដែលនាំទៅរកការគាំងនៅពេលប្រើជម្រើស Z_FIXED)។ ដោយវិនិច្ឆ័យដោយលេខកូដ យុទ្ធសាស្ត្រ Z_FIXED ក៏អាចត្រូវបានជ្រើសរើសដោយស្វ័យប្រវត្តិ ប្រសិនបើដើមឈើល្អបំផុត និងឋិតិវន្តដែលបានគណនាសម្រាប់ទិន្នន័យមានទំហំដូចគ្នា។

វាមិនទាន់ច្បាស់ថាតើលក្ខខណ្ឌសម្រាប់ការកេងប្រវ័ញ្ចភាពងាយរងគ្រោះអាចត្រូវបានជ្រើសរើសដោយប្រើយុទ្ធសាស្រ្តបង្ហាប់ Z_DEFAULT_STRATEGY លំនាំដើម។ បើមិនដូច្នោះទេ ភាពងាយរងគ្រោះនឹងត្រូវបានកំណត់ចំពោះប្រព័ន្ធជាក់លាក់មួយចំនួនដែលប្រើជម្រើស Z_FIXED យ៉ាងច្បាស់។ បើដូច្នេះមែន ការខូចខាតពីភាពងាយរងគ្រោះអាចមានសារៈសំខាន់ខ្លាំងណាស់ ព្រោះបណ្ណាល័យ zlib គឺជាស្តង់ដារជាក់ស្តែង ហើយត្រូវបានប្រើប្រាស់ក្នុងគម្រោងដ៏ពេញនិយមជាច្រើន រួមទាំងខឺណែល Linux, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg , rpm, Git, PostgreSQL, MySQL ជាដើម។

ប្រភព: opennet.ru