Claroty болон JFrog-ийн судлаачид суулгагдсан төхөөрөмжүүдэд өргөн хэрэглэгддэг, нэг гүйцэтгэгдэх файлд багцлагдсан стандарт UNIX хэрэгслүүдийг санал болгодог BusyBox багцын аюулгүй байдлын аудитын үр дүнг нийтэлжээ. Шалгалтын явцад 14 эмзэг байдлыг илрүүлсэн бөгөөд энэ нь BusyBox 1.34-ийн XNUMX-р сарын хувилбарт аль хэдийн засагдсан байна. Бараг бүх асуудал нь бодит халдлагад ашиглах үүднээс ямар ч хор хөнөөлгүй бөгөөд эргэлзээтэй байдаг, учир нь тэдгээр нь гаднаас хүлээн авсан аргумент бүхий хэрэгслүүдийг ажиллуулахыг шаарддаг.
Тусдаа сул тал нь CVE-2021-42374 бөгөөд энэ нь unlzma хэрэгслээр тусгайлан боловсруулсан шахсан файлыг боловсруулах, мөн CONFIG_FEATURE_SEAMLESS_LZMA тохируулгууд болон бусад BusyBox бүрэлдэхүүн хэсгүүдтэй угсрах үед үйлчилгээ үзүүлэхээс татгалзах боломжийг олгодог. tar, unzip, rpm, dpkg, lzma болон man .
CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 болон CVE-2021-42377 эмзэг байдал нь үйлчилгээнээс татгалзахад хүргэж болох ч халдагчийн тодорхойлсон параметрүүдтэй man, ash, hush хэрэгслүүдийг ажиллуулах шаардлагатай. CVE-2021-42378-ын CVE-2021-42386-ийн эмзэг байдал нь awk хэрэгсэлд нөлөөлж, кодыг гүйцэтгэхэд хүргэж болзошгүй боловч үүний тулд халдагч awk-д тодорхой загвар ажиллаж байгаа эсэхийг шалгах шаардлагатай (хүлээн авсан өгөгдөлтэй хамт awk-г ажиллуулах шаардлагатай) халдагчаас).
Нэмж дурдахад, gethostbyname(), getaddrinfo(), gethostbyaddr() болон getnameinfo() функцүүдэд хандах үед uclibc болон uclibc-ng номын санд эмзэг байдлыг (CVE-2021-43523) тэмдэглэж болно. домэйн нэрийг шалгаагүй бөгөөд DNS серверээс буцаасан нэрийг цэвэрлэсэн байна. Жишээлбэл, тодорхой шийдвэрлэх хүсэлтийн хариуд халдагчийн удирддаг DNS сервер нь “alert('xss').attacker.com” гэх мэт хостуудыг буцаах боломжтой бөгөөд тэдгээр нь зарим программ руу өөрчлөгдөөгүй буцаагдах болно. цэвэрлэхгүйгээр тэдгээрийг вэб интерфэйс дээр харуулах боломжтой. Glibc-тэй адил хэрэгжсэн буцаасан домэйн нэрний зөв эсэхийг шалгах код нэмж uclibc-ng 1.0.39 хувилбарыг гаргахад асуудлыг зассан.
Эх сурвалж: opennet.ru