Het OSTIF (Open Source Technology Improvement Fund), opgericht om de beveiliging van open source projecten te verbeteren, heeft de resultaten gepresenteerd van een beveiligingsaudit van de Boost-bibliotheken die in veel projecten in C++ worden gebruikt. De audit, uitgevoerd in opdracht van OSTIF en Amazon Web Services door het Italiaanse bedrijf Shielder, heeft zeven problemen aan het licht gebracht, waarvan één een gemiddeld risiconiveau kreeg en vier een laag risiconiveau. Twee problemen zijn als informatieve opmerkingen gepubliceerd.
De in de audit onderzochte bibliotheken:
- Boost.Beast
- Boost.DLL
- Boost.Date_Time
- Boost.Filesystem
- Boost.GIL
- Boost.Graph
- Boost.JSON
- Boost.Program_Options
- Boost.Regex
- Boost.String_Algo
- Boost.URL
- Boost.UUID
Geconstateerde problemen:
- Een kwetsbaarheid in Boost.Beast die de invoeging van carriage return en line feed (CRLF) in HTTP-headers mogelijk maakt (kan worden gebruikt voor header spliting). Dit probleem is als gemiddeld risiconiveau geclassificeerd.
- Stack overflow in de Boost.Regex bibliotheek bij het recursief uitvoeren van operaties met meerdere end_line-elementen in een reguliere expressie.
- Stack overflow in de Boost.Regex bibliotheek bij het recursief uitvoeren van operaties met meerdere capture groups en combinaties.
- Stack overflow in de Boost.Regex bibliotheek bij het recursief uitvoeren van operaties met meerdere open haakjes in de formatteerstring.
- Stack overflow in de Boost.Graph bibliotheek bij het recursief uitvoeren van operaties met meerdere geneste grafen.
- Assert-triggering in de breadth_first_search functie van de Boost.Graph bibliotheek.
- Onbehandelde uitzonderingen in Boost.DLL.
Op basis van de informatie verkregen tijdens de audit heeft het Boost-ontwikkelteam al vier problemen opgelost en vijftien verbeteringen aangebracht om de dekking van code en functies bij fuzzing-tests te vergroten. Het probleem met de header splitting in Boost.Beast is nog niet opgelost en informatieve aanbevelingen zijn nog niet meegenomen.
Bron: opennet.ru
