🥇 zlib मा कमजोरी, विशेष रूपमा डिजाइन गरिएको डाटा कम्प्रेस गर्दा प्रकट हुन्छ

zlib पुस्तकालयमा एउटा जोखिम (CVE-2018-25032) पहिचान गरिएको छ, जसले आगमन डेटामा वर्णहरूको विशेष रूपमा तयार गरिएको अनुक्रम कम्प्रेस गर्ने प्रयास गर्दा बफर ओभरफ्लो निम्त्याउँछ। यसको हालको फारममा, शोधकर्ताहरूले असामान्य रूपमा समाप्त हुने प्रक्रियाको कारण गर्ने क्षमता प्रदर्शन गरेका छन्। समस्याले अझ गम्भीर परिणामहरू निम्त्याउन सक्छ कि भनेर अझै अध्ययन गरिएको छैन।

कमजोरी संस्करण zlib 1.2.2.2 बाट सुरु हुन्छ र zlib 1.2.11 को हालको रिलीजलाई पनि असर गर्छ। यो उल्लेखनीय छ कि जोखिम सुधार गर्न प्याच 2018 मा फिर्ता प्रस्ताव गरिएको थियो, तर विकासकर्ताहरूले यसमा ध्यान दिएनन् र सुधारात्मक रिलीज जारी गरेनन् (zlib पुस्तकालय अन्तिम पटक 2017 मा अद्यावधिक गरिएको थियो)। वितरण द्वारा प्रस्तावित प्याकेजहरूमा फिक्स पनि समावेश गरिएको छैन। तपाईंले यी पृष्ठहरूमा वितरणद्वारा समाधानहरूको प्रकाशन ट्र्याक गर्न सक्नुहुन्छ: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD। zlib-ng पुस्तकालय समस्याबाट प्रभावित छैन।

यदि इनपुट स्ट्रिमले प्याक गर्न मिल्ने ठूलो संख्या समावेश गर्दछ, जसमा निश्चित हफम्यान कोडहरूमा आधारित प्याकिङ लागू हुन्छ भने जोखिम हुन्छ। निश्चित परिस्थितिहरूमा, मध्यवर्ती बफरका सामग्रीहरू जसमा कम्प्रेस गरिएको परिणाम राखिएको छ, प्रतीक आवृत्ति तालिका भण्डारण गरिएको मेमोरीलाई ओभरल्याप गर्न सक्छ। नतिजाको रूपमा, गलत कम्प्रेस गरिएको डाटा उत्पन्न हुन्छ र बफर सीमा बाहिर लेख्ने कारण क्र्यास हुन्छ।

जोखिमलाई फिक्स्ड हफम्यान कोडहरूमा आधारित कम्प्रेसन रणनीति प्रयोग गरेर मात्र शोषण गर्न सकिन्छ। कोडमा Z_FIXED विकल्प स्पष्ट रूपमा सक्षम हुँदा समान रणनीति छनौट गरिन्छ (Z_FIXED विकल्प प्रयोग गर्दा क्र्यास हुने क्रमको उदाहरण)। कोडको आधारमा, Z_FIXED रणनीति पनि स्वचालित रूपमा चयन गर्न सकिन्छ यदि डेटाको लागि गणना गरिएको इष्टतम र स्थिर रूखहरूको आकार समान छ।

यो अझै स्पष्ट छैन कि पूर्वनिर्धारित Z_DEFAULT_STRATEGY कम्प्रेसन रणनीति प्रयोग गरेर जोखिमको शोषणका लागि सर्तहरू चयन गर्न सकिन्छ। यदि होइन भने, त्यसपछि जोखिम निश्चित विशिष्ट प्रणालीहरूमा सीमित हुनेछ जसले स्पष्ट रूपमा Z_FIXED विकल्प प्रयोग गर्दछ। यदि त्यसो हो भने, जोखिमबाट हुने क्षति धेरै महत्त्वपूर्ण हुन सक्छ, किनकि zlib पुस्तकालय एक वास्तविक मानक हो र लिनक्स कर्नेल, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg सहित धेरै लोकप्रिय परियोजनाहरूमा प्रयोग गरिन्छ। , rpm, Git, PostgreSQL, MySQL, आदि।

स्रोत: opennet.ru

zlib मा जोखिम जुन विशेष रूपमा डिजाइन गरिएको डाटा कम्प्रेस गर्दा हुन्छ

एक टिप्पणी थप्न Отменить ответ