O Fundo OSTIF (Open Source Technology Improvement Fund), criado para fortalecer a segurança de projetos abertos, divulgou os resultados da auditoria de segurança das bibliotecas Boost, utilizadas em muitos projetos na linguagem C++. A auditoria, realizada a pedido do OSTIF e da Amazon Web Services pela empresa italiana Shielder, identificou 7 problemas, dos quais um foi classificado com nível médio de perigo, e quatro com nível baixo; duas questões foram publicadas como observações informativas.
As bibliotecas analisadas durante a auditoria:
- Boost.Beast
- Boost.DLL
- Boost.Date_Time
- Boost.Filesystem
- Boost.GIL
- Boost.Graph
- Boost.JSON
- Boost.Program_Options
- Boost.Regex
- Boost.String_Algo
- Boost.URL
- Boost.UUID
Problemas identificados:
- Vulnerabilidade em Boost.Beast que permite a injeção de caracteres de retorno de carro e nova linha (CRLF) nos cabeçalhos HTTP (pode ser usada para quebrar cabeçalhos). O problema foi classificado como de médio perigo.
- Estouro de pilha na biblioteca Boost.Regex durante a execução recursiva de operações com múltiplos elementos end_line na expressão regular.
- Estouro de pilha na biblioteca Boost.Regex durante a execução recursiva de operações com múltiplos grupos de captura e união.
- Estouro de pilha na biblioteca Boost.Regex durante a execução recursiva de operações com múltiplos parênteses abertos na string de formatação.
- Estouro de pilha na biblioteca Boost.Graph durante a execução recursiva de operações com múltiplos grafos aninhados.
- Falha de asserção na função breadth_first_search da biblioteca Boost.Graph.
- Exceções não capturadas em Boost.DLL.
Com base nas informações obtidas durante a auditoria, a equipe de desenvolvedores do Boost já corrigiu 4 problemas e fez 15 melhorias para aumentar a cobertura do código e das funções durante os testes de fuzzing. O problema de quebra de cabeçalho em Boost.Beast ainda não foi corrigido e as recomendações informativas não foram implementadas.
Fonte: opennet.ru
