🥇 विशेष रूपमा तयार पारिएको डेटा कम्प्रेस गर्दा हुने zlib मा जोखिम

zlib लाइब्रेरीमा एउटा जोखिम (CVE-2018-25032) पत्ता लागेको छ, जसले इनपुट डेटामा विशेष रूपमा तयार पारिएको क्यारेक्टर अनुक्रम कम्प्रेस गर्ने प्रयास गर्दा बफर ओभरफ्लो निम्त्याउँछ। यसको हालको रूपमा, अनुसन्धानकर्ताहरूले प्रक्रिया क्र्यास हुने सम्भावना प्रदर्शन गरेका छन्। यो समस्याले अझ गम्भीर परिणाम निम्त्याउन सक्छ कि सक्दैन भन्ने कुरा अझै निर्धारण गरिएको छैन।

यो जोखिम zlib संस्करण १.२.२.२ बाट सुरु भएर प्रकट हुन्छ र हालको zlib रिलीज, १.२.११ लाई असर गर्छ। यो ध्यान दिन लायक छ कि जोखिम समाधान गर्ने प्याच २०१८ मा प्रस्ताव गरिएको थियो, तर विकासकर्ताहरूले यसलाई बेवास्ता गरे र सुधारात्मक रिलीज जारी गरेनन् (zlib पुस्तकालय अन्तिम पटक २०१७ मा अद्यावधिक गरिएको थियो)। समाधान अझै वितरण प्याकेजहरूमा समावेश गरिएको छैन। तपाईं निम्न पृष्ठहरूमा वितरणद्वारा प्याचहरूको रिलीज ट्र्याक गर्न सक्नुहुन्छ: Debian, आरएचईएल, फेडोरा, सुस, Ubuntu, आर्क Linux, OpenBSD, FreeBSD, NetBSD। zlib-ng पुस्तकालय यस समस्याबाट प्रभावित छैन।

इनपुट स्ट्रिममा प्याक गर्नुपर्ने धेरै संख्यामा मिलानहरू हुँदा जोखिम प्रकट हुन्छ, जुन निश्चित हफम्यान कोडहरू प्रयोग गरेर प्याक गरिन्छ। निश्चित परिस्थितिहरूमा, कम्प्रेस गरिएको परिणाम राखिएको मध्यवर्ती बफरको सामग्री प्रतीक फ्रिक्वेन्सी तालिका भण्डारण गर्ने मेमोरीसँग ओभरल्याप हुन सक्छ। यसले गलत कम्प्रेस गरिएको डेटाको उत्पादन र सीमा बाहिरको लेखनको कारणले क्र्यासको परिणाम दिन्छ।

निश्चित हफम्यान कोडहरूमा आधारित कम्प्रेसन रणनीति प्रयोग गर्दा मात्र जोखिमको शोषण गर्न सकिन्छ। यो रणनीति कोडमा Z_FIXED विकल्पलाई स्पष्ट रूपमा सक्षम गरेर चयन गरिन्छ (Z_FIXED विकल्प प्रयोग गर्दा क्र्यास हुने अनुक्रमको उदाहरण)। कोडको आधारमा, डेटाको लागि गणना गरिएको इष्टतम र स्थिर रूखहरू समान आकारका भएमा Z_FIXED रणनीति स्वचालित रूपमा पनि चयन गर्न सकिन्छ।

पूर्वनिर्धारित Z_DEFAULT_STRATEGY कम्प्रेसन रणनीति प्रयोग गरेर जोखिमको शोषण गर्न सकिन्छ कि सकिँदैन भन्ने कुरा अझै स्पष्ट छैन। यदि होइन भने, जोखिम Z_FIXED विकल्प स्पष्ट रूपमा प्रयोग गर्ने विशिष्ट प्रणालीहरूमा सीमित हुनेछ। यदि त्यसो हो भने, जोखिमबाट हुने क्षति धेरै महत्त्वपूर्ण हुन सक्छ, किनकि zlib पुस्तकालय वास्तविक मानक हो र कर्नेल सहित धेरै लोकप्रिय परियोजनाहरूमा प्रयोग गरिन्छ। Linux, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg, rpm, Git, PostgreSQL, MySQL, आदि।

स्रोत: opennet.ru

विशेष रूपमा तयार पारिएको डेटा कम्प्रेस गर्दा zlib मा जोखिम