Onderzoekers van de bedrijven Claroty en JFrog hebben de resultaten gepubliceerd van een beveiligingsaudit van het BusyBox-pakket, dat veel wordt gebruikt in embedded apparaten en een set standaard UNIX-hulpprogramma's biedt, verpakt in Ć©Ć©n uitvoerbaar bestand. Tijdens de controle zijn 14 kwetsbaarheden aangetroffen, die inmiddels zijn verholpen in de augustusuitgave van BusyBox 1.34. Bijna alle problemen zijn niet ernstig en twijfelachtig wat betreft hun toepassing in echte aanvallen, omdat ze vereisen dat hulpprogramma's worden uitgevoerd met externe argumenten.
Een aparte kwetsbaarheid is CVE-2021-42374, die een denial-of-service kan veroorzaken bij het verwerken van een speciaal geformatteerd gecomprimeerd bestand met het hulpprogramma unlzma. In het geval van een samenstelling met de optie CONFIG_FEATURE_SEAMLESS_LZMA kan dit ook gelden voor andere BusyBox-componenten, waaronder tar, unzip, rpm, dpkg, lzma en man.
De kwetsbaarheden CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 en CVE-2021-42377 kunnen een denial-of-service veroorzaken, maar vereisen dat de hulpprogramma's man, ash en hush worden uitgevoerd met parameters die door de aanvaller zijn opgegeven. De kwetsbaarheden van CVE-2021-42378 tot CVE-2021-42386 hebben betrekking op het hulpprogramma awk en kunnen potentieel leiden tot code-uitvoering, maar daarvoor moet de aanvaller zorgen voor de uitvoering van een specifiek patroon in awk (warmte awk met gegevens van de aanvaller als eerste argument in de commandoregel).
Daarnaast kan ook de kwetsbaarheid (CVE-2021-43523) in de bibliotheken uclibc en uclibc-ng worden opgemerkt, die verband houdt met het feit dat er bij het aanroepen van de functies gethostbyname(), getaddrinfo(), gethostbyaddr() en getnameinfo() geen controle en reiniging van de domeinnaam die door de DNS-server wordt geretourneerd, wordt uitgevoerd. Bijvoorbeeld, als reactie op een bepaalde resolvingsverzoek kan een door een aanvaller gecontroleerde DNS-server hosts retourneren zoals ".attacker.com" en deze zullen in onveranderde vorm worden geretourneerd aan een programma dat ze zonder reiniging kan weergeven in een webinterface. Het probleem is opgelost in de uitgave uclibc-ng 1.0.39 door het toevoegen van code voor de validatie van de geretourneerde waarden. domeinnamen, geĆÆmplementeerd naar analogie met Glibc.
Bron: opennet.ru
