{"id":121941,"date":"2025-02-14T20:22:09","date_gmt":"2025-02-14T18:22:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr"},"modified":"2025-02-14T20:22:09","modified_gmt":"2025-02-14T18:22:09","slug":"uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr","title":{"rendered":"Kwetsbaarheid in Musl, uitgebuit bij het omzetten van tekst in EUC-KR-codering","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de standaard C-bibliotheek Musl is een kwetsbaarheid ontdekt (CVE-2024-2961) die leidt tot een bufferoverloop bij het converteren van speciaal opgemaakte tekst van EUC-KR naar UTF-8 met de functie iconv(). De kwetsbaarheid doet zich voor vanaf versie musl 0.9.13 en wordt verholpen in de aankomende versie 1.2.6 (tot de publicatie van de update dient een patch gebruikt te worden). De kwetsbaarheid is ontdekt door de bijbehorende bibliotheek libxml2 tijdens fuzzing-tests. <\/p>\n
De kwetsbaarheid kan worden gebruikt voor aanvallen op applicaties die zijn opgebouwd met de Musl-bibliotheek en tekst decoderen die afkomstig is van externe bronnen. Het misbruiken van de kwetsbaarheid is mogelijk wanneer in de applicatie de functie iconv_open() wordt aangeroepen met de broncodering EUC-KR en de doelcodering UTF-8. Voorbeelden van mogelijk kwetsbare applicaties zijn programma's die XML, HTML en e-mailberichten decoderen op basis van de codering die in de header met MIME-type is opgegeven (bijvoorbeeld «text\/plain; charset=EUC-KR»). Een dergelijke decodering wordt uitgevoerd door programma's die gebruikmaken van de libxml2-bibliotheek. <\/p>\n
De kwetsbaarheid wordt veroorzaakt door een combinatie van twee fouten. De eerste fout heeft te maken met het ontbreken van de juiste controle op ongeldige multibyte-sequenties in de EUC-KR-decoder. De tweede fout bevindt zich in de UTF-8-encoder, die niet was berekend op het feit dat de gegevensdecoder ongeldige Unicode-schaalwaarden kan retourneren. Hierdoor leidt de verwerking van sequenties zoals «\xc8\x41» tot het schrijven van waarden buiten het aangewezen geheugenbuffer. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"