OpenBSD IPv6 स्टॅकमध्ये दूरस्थ असुरक्षा

OpenBSD मध्ये IPv6 अॅड्रेस ऑटोकॉन्फिगरेशन (IPv6 स्टेटलेस अॅड्रेस ऑटोकॉन्फिगरेशन, RFC 4862) साठी जबाबदार असलेल्या slaacd बॅकग्राउंड प्रक्रियेमध्ये एक भेद्यता आढळली आहे, ज्यामुळे विशेषतः तयार केलेल्या IPv6 राउटर जाहिराती (RA) प्राप्त करताना बफर ओव्हरफ्लो होतो.

सुरुवातीला, IPv6 अॅड्रेस ऑटोकॉन्फिगरेशन कार्यक्षमता कर्नल स्तरावर लागू केली गेली होती, परंतु OpenBSD 6.2 पासून सुरुवात करून, ती एका वेगळ्या, अनप्रिव्हिलेज्ड प्रक्रियेत, slaacd मध्ये हलवण्यात आली. ही प्रक्रिया RS (राउटर सॉलिसिटेशन) संदेश पाठवण्यासाठी आणि राउटर माहिती आणि नेटवर्क कनेक्शन पॅरामीटर्स असलेले RA (राउटर जाहिरात) प्रतिसाद पार्स करण्यासाठी जबाबदार आहे.

फेब्रुवारीमध्ये, slaacd मध्ये एक बग दुरुस्त करण्यात आला जो 7 निर्दिष्ट केल्यास क्रॅश होऊ शकतो. सर्व्हर RDNSS (रिकर्सिव्ह DNS सर्व्हर्स) यादीमध्ये. या निरीक्षणाने स्वतंत्र संशोधकांचे लक्ष वेधले, ज्यांनी RA संदेशांमधील फील्ड पार्स करताना होणाऱ्या इतर त्रुटींसाठी slaacd कोड तपासण्याचा प्रयत्न केला. विश्लेषणातून असे दिसून आले की कोडमध्ये DNSSL (DNS शोध यादी) फील्ड प्रक्रिया करताना उद्भवणारी आणखी एक समस्या आहे, ज्यामध्ये याद्या समाविष्ट आहेत. डोमेन नावे आणि DNS साठी होस्ट टेम्पलेट्स.

DNSSL यादीतील प्रत्येक नाव शून्य-आधारित विभाजक आणि मध्यस्थ सिंगल-बाइट मार्कर वापरून एन्कोड केलेले आहे जे खालील डेटाचा आकार निर्धारित करतात. ही भेद्यता उद्भवते कारण यादी पार्सिंग कोड आकार फील्डला एका स्वाक्षरीकृत पूर्णांक चल ("len = data[pos]") मध्ये कॉपी करतो. परिणामी, जर फील्डमध्ये उच्च-ऑर्डर बिट सेटसह मूल्य असेल, तर हे मूल्य सशर्त विधानात ऋण संख्या म्हणून अर्थ लावले जाईल आणि कमाल परवानगीयोग्य आकार तपासणी ("if (len > 63 || len + pos + 1 > datalen) {") अयशस्वी होईल, परिणामी बफर आकारापेक्षा जास्त आकाराच्या पॅरामीटरसह memcpy कॉल येईल.

स्त्रोत: opennet.ru