Cercetătorii de la Claroty și JFrog au publicat rezultatele unui audit de securitate al pachetului BusyBox, utilizat pe scară largă în dispozitivele încorporate și care oferă un set de utilități standard UNIX ambalate într-un singur fișier executabil. În timpul scanării, au fost identificate 14 vulnerabilități, care au fost deja remediate în versiunea din august a BusyBox 1.34. Aproape toate problemele sunt inofensive și discutabile din punct de vedere al utilizării în atacuri reale, deoarece necesită rularea de utilități cu argumente primite din exterior.
O vulnerabilitate separată este CVE-2021-42374, care vă permite să provocați o refuz de serviciu atunci când procesați un fișier comprimat special conceput cu utilitarul unlzma, iar în cazul asamblarii cu opțiunile CONFIG_FEATURE_SEAMLESS_LZMA, de asemenea cu orice alte componente BusyBox, inclusiv tar, unzip, rpm, dpkg, lzma și man .
Vulnerabilitățile CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 și CVE-2021-42377 pot provoca o refuz de serviciu, dar necesită rularea utilităților man, ash și hush cu parametri specificați de atacator. Vulnerabilitățile CVE-2021-42378 până la CVE-2021-42386 afectează utilitarul awk și pot duce potențial la executarea codului, dar pentru aceasta atacatorul trebuie să se asigure că un anumit model este executat în awk (este necesar să ruleze awk cu datele primite de la atacator).
În plus, puteți observa și o vulnerabilitate (CVE-2021-43523) în bibliotecile uclibc și uclibc-ng, datorită faptului că la accesarea funcțiilor gethostbyname(), getaddrinfo(), gethostbyaddr() și getnameinfo(), numele de domeniu nu este verificat și numele curățat returnat de serverul DNS. De exemplu, ca răspuns la o anumită solicitare de rezoluție, un server DNS controlat de un atacator poate returna gazde precum „alert('xss').attacker.com” și vor fi returnate neschimbate la un program. care, fără curățare, le pot afișa în interfața web. Problema a fost rezolvată în lansarea uclibc-ng 1.0.39 prin adăugarea de cod pentru a verifica corectitudinea numelor de domenii returnate, implementat în mod similar cu Glibc.
Sursa: opennet.ru