BusyBox സുരക്ഷാ വിശകലനം 14 ചെറിയ കേടുപാടുകൾ വെളിപ്പെടുത്തുന്നു

Claroty, JFrog എന്നിവിടങ്ങളിൽ നിന്നുള്ള ഗവേഷകർ BusyBox പാക്കേജിന്റെ സുരക്ഷാ ഓഡിറ്റിന്റെ ഫലങ്ങൾ പ്രസിദ്ധീകരിച്ചു, എംബഡഡ് ഉപകരണങ്ങളിൽ വ്യാപകമായി ഉപയോഗിക്കപ്പെടുന്നു, കൂടാതെ ഒരു എക്സിക്യൂട്ടബിൾ ഫയലിൽ പാക്കേജുചെയ്‌തിരിക്കുന്ന ഒരു കൂട്ടം സ്റ്റാൻഡേർഡ് UNIX യൂട്ടിലിറ്റികൾ വാഗ്ദാനം ചെയ്യുന്നു. സ്കാനിംഗ് സമയത്ത്, 14 കേടുപാടുകൾ തിരിച്ചറിഞ്ഞു, അവ ഇതിനകം തന്നെ BusyBox 1.34-ന്റെ ഓഗസ്റ്റ് പതിപ്പിൽ പരിഹരിച്ചിട്ടുണ്ട്. യഥാർത്ഥ ആക്രമണങ്ങളിലെ ഉപയോഗത്തിന്റെ വീക്ഷണകോണിൽ നിന്ന് മിക്കവാറും എല്ലാ പ്രശ്നങ്ങളും നിരുപദ്രവകരവും സംശയാസ്പദവുമാണ്, കാരണം അവയ്ക്ക് പുറത്ത് നിന്ന് ലഭിച്ച വാദങ്ങൾ ഉപയോഗിച്ച് യൂട്ടിലിറ്റികൾ പ്രവർത്തിപ്പിക്കേണ്ടതുണ്ട്.

ഒരു പ്രത്യേക കേടുപാടുകൾ CVE-2021-42374 ആണ്, ഇത് unlzma യൂട്ടിലിറ്റി ഉപയോഗിച്ച് പ്രത്യേകം രൂപകൽപ്പന ചെയ്‌ത കംപ്രസ് ചെയ്‌ത ഫയൽ പ്രോസസ്സ് ചെയ്യുമ്പോഴും CONFIG_FEATURE_SEAMLESS_LZMA ഓപ്‌ഷനുകൾ ഉപയോഗിച്ച് അസംബ്ലി ചെയ്യുമ്പോഴും സേവന നിഷേധത്തിന് കാരണമാകുന്നു, കൂടാതെ മറ്റേതെങ്കിലും ബിസിബോക്‌സ് ഘടകങ്ങൾ ഉൾപ്പെടെ. tar, unzip, rpm, dpkg, lzma, man .

കേടുപാടുകൾ CVE-2021-42373, CVE-2021-42375, CVE-2021-42376, CVE-2021-42377 എന്നിവ സേവന നിഷേധത്തിന് കാരണമാകാം, എന്നാൽ ആക്രമണകാരികൾ വ്യക്തമാക്കിയ പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് മാൻ, ആഷ്, ഹഷ് യൂട്ടിലിറ്റികൾ പ്രവർത്തിപ്പിക്കേണ്ടതുണ്ട്. കേടുപാടുകൾ CVE-2021-42378 മുതൽ CVE-2021-42386 വരെ awk യൂട്ടിലിറ്റിയെ ബാധിക്കുകയും കോഡ് നിർവ്വഹണത്തിലേക്ക് നയിക്കുകയും ചെയ്യും, എന്നാൽ ഇതിനായി ആക്രമണകാരി ഒരു നിശ്ചിത പാറ്റേൺ awk-ൽ എക്സിക്യൂട്ട് ചെയ്തിട്ടുണ്ടെന്ന് ഉറപ്പാക്കേണ്ടതുണ്ട് (സ്വീകരിച്ച ഡാറ്റ ഉപയോഗിച്ച് awk പ്രവർത്തിപ്പിക്കേണ്ടത് ആവശ്യമാണ്. ആക്രമണകാരിയിൽ നിന്ന്).

കൂടാതെ, ഫംഗ്‌ഷനുകൾ ആക്‌സസ് ചെയ്യുമ്പോൾ gethostbyname(), getaddrinfo(), gethostbyaddr(), getnameinfo(), എന്നിവ കാരണം നിങ്ങൾക്ക് uclibc, uclibc-ng ലൈബ്രറികളിൽ ഒരു അപകടസാധ്യത (CVE-2021-43523) ശ്രദ്ധിക്കാവുന്നതാണ്. ഡൊമെയ്ൻ നാമം പരിശോധിച്ചില്ല, വൃത്തിയാക്കിയ പേര് DNS സെർവർ തിരികെ നൽകി. ഉദാഹരണത്തിന്, ഒരു നിശ്ചിത റെസല്യൂഷൻ അഭ്യർത്ഥനയ്ക്കുള്ള പ്രതികരണമായി, ഒരു ആക്രമണകാരി നിയന്ത്രിക്കുന്ന DNS സെർവറിന് "" alert(‘xss’) .attacker.com", അവ വൃത്തിയാക്കാതെ തന്നെ വെബ് ഇന്റർഫേസിൽ പ്രദർശിപ്പിക്കാൻ കഴിയുന്ന ചില പ്രോഗ്രാമുകളിലേക്ക് മാറ്റമില്ലാതെ തിരികെ നൽകും. uclibc-ng 1.0.39 പുറത്തിറക്കിയതിൽ പ്രശ്നം പരിഹരിച്ചു, തിരികെ നൽകിയ ഡൊമെയ്ൻ നാമങ്ങളുടെ കൃത്യത പരിശോധിക്കാൻ കോഡ് ചേർത്ത്, Glibc-ന് സമാനമായി നടപ്പിലാക്കി.

അവലംബം: opennet.ru