Standarta C bibliotēkā Glibc tika atklāta ievainojamība (CVE-2024-2961), kas izraisa bufera pārpildi, pārveidojot īpaši noformētus tekstus ISO-2022-CN-EXT kodējumā ar funkciju iconv(). Problēmas atklājējs plāno 10. maijā uzstāties konferencē OffensiveCon ar ziņojumu, kurā minēta iespēja izmantot ievainojamību PHP valodā rakstītu lietojumprogrammu kontekstā. Tiek apgalvots, ka šī problēma skar visu PHP ekosistēmu un dažas lietojumprogrammas.
Pārveidojot virknes UCS4 kodējumā atbilstoši RFC 1922 prasībām, bibliotēka pievieno dažus escape simbolus, kas izceļ virknes daļas, kurās kodējums ir mainīts. Ievainojamība radusies, nepareizi pārbaudot iekšējo buferu robežas funkcijā iconv(), kas var izraisīt bufera pārpildi ne vairāk kā par 4 baitiem. Bufera pārsniegšanas gadījumā var tikt ierakstītas noteiktas fiksētas vērtības, piemēram, ‘$+I’, ‘$+J’, ‘$+K’, ‘$+L’, ‘$+M’ un ‘$*H’. Lai gan šādas ievainojamības izmantošana koda izpildei šķiet maz ticama, saskaņā ar problēmas atklājēja teikto šī informācija bija pietiekama, lai izstrādātu vairākus prototipus exploit, kas ļauj veikt attālinātas uzbrukumus PHP lietojumprogrammām, izraisot koda izpildi.
Ievainojamība izpaužas kopš 2000. gada un ir novērsta izstrādē esošajā Glibc 2.40 versijā. Labojums arī pieejams kā plāksteri Glibc izlaidumiem no 2.32 līdz 2.39. Izplatījumos var sekot ievainojamības labojumiem lapās: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch.
Avots: opennet.lv
