BusyBox सुरक्षा विश्लेषण 14 किरकोळ भेद्यता प्रकट करते

Claroty आणि JFrog मधील संशोधकांनी BusyBox पॅकेजच्या सुरक्षा ऑडिटचे परिणाम प्रकाशित केले आहेत, जे एम्बेडेड उपकरणांमध्ये मोठ्या प्रमाणावर वापरले जाते आणि एका एक्झिक्युटेबल फाइलमध्ये पॅक केलेल्या मानक UNIX युटिलिटीजचा संच देतात. स्कॅन दरम्यान, 14 असुरक्षा ओळखल्या गेल्या, ज्या BusyBox 1.34 च्या ऑगस्टच्या रिलीझमध्ये आधीच निश्चित केल्या गेल्या आहेत. वास्तविक हल्ल्यांमध्ये वापरण्याच्या दृष्टिकोनातून जवळजवळ सर्व समस्या निरुपद्रवी आणि शंकास्पद आहेत, कारण त्यांना बाहेरून प्राप्त झालेल्या युक्तिवादांसह चालणारी उपयुक्तता आवश्यक आहे.

CVE-2021-42374 ही एक वेगळी भेद्यता आहे, जी तुम्हाला unlzma युटिलिटीसह खास डिझाइन केलेल्या कॉम्प्रेस्ड फाइलवर प्रक्रिया करताना आणि CONFIG_FEATURE_SEAMLESS_LZMA पर्यायांसह असेंब्लीच्या बाबतीत, इतर कोणत्याही BusyBox घटकांसह, सेवा नाकारण्याची परवानगी देते. tar, unzip, rpm, dpkg, lzma आणि man .

असुरक्षा CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 आणि CVE-2021-42377 सेवा नाकारण्यास कारणीभूत ठरू शकतात, परंतु आक्रमणकर्त्याने निर्दिष्ट केलेल्या पॅरामीटर्ससह मॅन, ॲश आणि हश युटिलिटी चालवणे आवश्यक आहे. असुरक्षितता CVE-2021-42378 ते CVE-2021-42386 awk युटिलिटीवर परिणाम करतात आणि संभाव्यत: कोडची अंमलबजावणी होऊ शकतात, परंतु यासाठी आक्रमणकर्त्याने awk मध्ये एक विशिष्ट नमुना कार्यान्वित केला आहे याची खात्री करणे आवश्यक आहे (प्राप्त डेटासह awk चालवणे आवश्यक आहे. हल्लेखोराकडून).

याव्यतिरिक्त, तुम्ही uclibc आणि uclibc-ng लायब्ररीमध्ये एक भेद्यता (CVE-2021-43523) देखील लक्षात घेऊ शकता, कारण gethostbyname(), getaddrinfo(), gethostbyaddr() आणि getnameinfo(), फंक्शन्समध्ये प्रवेश करताना डोमेन नाव तपासले गेले नाही आणि डीएनएस सर्व्हरद्वारे साफ केलेले नाव परत केले गेले. उदाहरणार्थ, ठराविक रिझोल्यूशन विनंतीला प्रतिसाद म्हणून, आक्रमणकर्त्याद्वारे नियंत्रित केलेला DNS सर्व्हर यजमान परत करू शकतो जसे की “ alert(‘xss’) .attacker.com" आणि ते काही प्रोग्राममध्ये न बदलता परत केले जातील जे साफ न करता, वेब इंटरफेसमध्ये प्रदर्शित करू शकतात. uclibc-ng 1.0.39 च्या प्रकाशनात Glibc प्रमाणेच लागू केलेल्या, परत केलेल्या डोमेन नावांची शुद्धता तपासण्यासाठी कोड जोडून समस्येचे निराकरण करण्यात आले.

स्त्रोत: opennet.ru