Een correctie-update van de libXpm-bibliotheek 3.5.15, ontwikkeld door het X.Org-project en gebruikt voor het verwerken van XPM-bestanden, is gepubliceerd. In de nieuwe versie zijn drie kwetsbaarheden verholpen, waarvan er twee (CVE-2022-46285, CVE-2022-44617) leiden tot een eindeloze lus bij het verwerken van speciaal opgemaakte XPM-bestanden. De derde kwetsbaarheid (CVE-2022-4883) maakt het mogelijk om willekeurige commando's uit te voeren bij het draaien van toepassingen die gebruik maken van libXpm. Bij het starten van privileges gerelateerde aan libXpm, zoals programma's met de suid root-vlag, biedt de kwetsbaarheid de mogelijkheid om de eigen privileges te verhogen.
De kwetsbaarheid is het gevolg van de manier waarop libXpm werkt met gecomprimeerde XPM-bestanden ā bij het verwerken van XPM.Z of XPM.gz-bestanden, start de bibliotheek externe decompressor-tools (uncompress of gunzip) via een execlp() aanroep, waarbij het pad wordt berekend op basis van de omgevingsvariabele PATH. De aanval komt neer op het plaatsen van eigen uitvoerbare bestanden uncompress of gunzip in een door de gebruiker bereikbare map die aanwezig is in de PATH-lijst, die zullen worden uitgevoerd wanneer de toepassing die gebruikmaakt van libXpm wordt gestart.
De kwetsbaarheid is verholpen door de execlp-aanroep te vervangen door execl met absolute paden naar de tools. Daarnaast is er een compileeroptie '-disable-open-zfile' toegevoegd, waarmee het verwerken van gecomprimeerde bestanden en het aanroepen van externe decompressietools kan worden uitgeschakeld.
Bron: opennet.ru
