NCC සමූහයේ පර්යේෂකයන් නොමිලේ ව්යාපෘති විගණන ප්රතිඵල , තත්‍ය කාලීන මෙහෙයුම් පද්ධතියක් (RTOS), Internet of Things සංකල්පයට (IoT, Internet of Things) අනුකූල වන උපාංග සන්නද්ධ කිරීම අරමුණු කර ගෙන ඇත. විගණනයේදී අනාවරණය විය Zephyr හි සහ MCUboot හි 1 අවදානම. Zephyr Intel සමාගම්වල සහභාගීත්වයෙන් සංවර්ධනය වෙමින් පවතී.
සමස්තයක් වශයෙන්, ජාල තොගයේ දුර්වලතා 6ක්, කර්නලයේ 4ක්, විධාන කවචයේ 2ක්, පද්ධති ඇමතුම් හසුරුවන්නෙහි 5ක්, USB උපපද්ධතියේ 5ක් සහ ස්ථිරාංග යාවත්කාලීන යාන්ත්‍රණයේ 3ක් හඳුනාගෙන ඇත. ගැටළු දෙකක් විවේචනාත්මක ලෙස ශ්‍රේණිගත කර ඇත, දෙකක් ඉහළ, 9 මධ්‍යස්ථ, 9 අඩු, සහ 4 සලකා බැලීම සඳහා වේ. බරපතල ගැටළු IPv4 තොගයට සහ MQTT විග්‍රහයට බලපායි, භයානක ඒවා USB ස්කන්ධ ගබඩාවට සහ USB DFU ධාවකයන්ට බලපායි. තොරතුරු හෙළිදරව් කරන අවස්ථාවේදී, වඩාත් භයානක දුර්වලතා 15ක් සඳහා පමණක් නිවැරදි කිරීම් සකස් කර තිබුණි; සේවාව ප්‍රතික්ෂේප කිරීමට තුඩු දෙන ගැටළු හෝ අතිරේක කර්නල් ආරක්ෂණ යාන්ත්‍රණවල දෝෂ හා සම්බන්ධ ගැටළු නිවැරදි කර නොමැත.
වේදිකාවේ IPv4 තොගයේ දුරස්ථව සූරාකෑමට ලක්විය හැකි අවදානමක් හඳුනාගෙන ඇත, එය යම් ආකාරයකින් වෙනස් කරන ලද ICMP පැකට් සැකසීමේදී මතකය දූෂණයට තුඩු දෙයි. MQTT ප්‍රොටෝකෝල විග්‍රහයේ තවත් බරපතල ගැටළුවක් සොයා ගන්නා ලදී, එය නිසි ශීර්ෂ ක්ෂේත්‍ර දිග පරීක්ෂාවක් නොමැතිකම නිසා ඇති වන අතර දුරස්ථ කේත ක්‍රියාත්මක වීමට හේතු විය හැක. IPv6 තොගයේ සහ CoAP ප්‍රොටෝකෝලය ක්‍රියාත්මක කිරීමේදී අඩු බරපතල සේවා ප්‍රතික්ෂේප කිරීම් දක්නට ලැබේ.
සේවාව ප්‍රතික්ෂේප කිරීමට හෝ කර්නල් මට්ටමින් කේතය ක්‍රියාත්මක කිරීමට වෙනත් ගැටළු දේශීයව භාවිතා කළ හැක. මෙම දුර්වලතා බොහොමයක් පද්ධති ඇමතුම් තර්ක නිසි ලෙස පරීක්ෂා නොකිරීමට සම්බන්ධ වන අතර, කර්නල් මතකයේ අත්තනෝමතික ප්‍රදේශ වෙත ලිවීමට සහ කියවීමට හේතු විය හැක. ගැටළු පද්ධති ඇමතුම් සැකසුම් කේතය දක්වාද විහිදේ - සෘණ පද්ධති ඇමතුම් අංකයක් ඇමතීමෙන් පූර්ණ සංඛ්‍යා පිටාර ගැලීම සිදුවේ. ASLR ආරක්ෂණය (ලිපින අවකාශ සසම්භාවීකරණය) ක්‍රියාත්මක කිරීමේ ගැටළු සහ තොගයේ කැනරි ලකුණු සැකසීමේ යාන්ත්‍රණය ද කර්නලය විසින් හඳුනාගෙන ඇති අතර, මෙම යාන්ත්‍රණයන් අකාර්යක්ෂම වේ.
බොහෝ ගැටළු USB තොගයට සහ තනි ධාවකයන්ට බලපායි. උදාහරණයක් ලෙස, USB ස්කන්ධ ආචයනයේ ඇති ගැටළු, ප්‍රහාරකයා විසින් පාලනය කරනු ලබන USB ධාරකයකට උපාංගය සම්බන්ධ කර ඇති විට, බෆරය පිටාර ගැලීම සහ කර්නල් මට්ටමින් කේතය ක්‍රියාත්මක කිරීමට හේතු විය හැක. USB හරහා නව ස්ථිරාංග පූරණය කිරීමේ ධාවකයක් වන USB DFU හි ඇති අවදානමක්, සංකේතනය භාවිතා නොකර සහ ඩිජිටල් අත්සන භාවිතයෙන් සංරචක සත්‍යාපනය කිරීමෙන් ආරක්ෂිත ඇරඹුම් මාදිලිය මග හැරීමෙන් තොරව මයික්‍රොකොන්ට්‍රෝලර් හි අභ්‍යන්තර ෆ්ලෑෂ් වෙත නවීකරණය කරන ලද ස්ථිරාංග රූපයක් පැටවීමට ඔබට ඉඩ සලසයි. අතිරේකව, විවෘත ඇරඹුම් කාරක කේතය අධ්යයනය කරන ලදී , එක් නිරපේක්ෂ අවදානමක් සොයා ගන්නා ලදී,
UART හරහා SMP (සරල කළමනාකරණ ප්‍රොටෝකෝලය) ප්‍රොටෝකෝලය භාවිතා කරන විට බෆරය පිටාර ගැලීමට හේතු විය හැක.
Zephyr හි, සියලුම ක්‍රියාවලි සඳහා සපයනු ලබන්නේ එක් ගෝලීය හවුල් අතථ්‍ය ලිපින ඉඩක් (SASOS, තනි ලිපින අභ්‍යවකාශ මෙහෙයුම් පද්ධතිය) පමණක් බව මතක තබා ගන්න. යෙදුම්-විශේෂිත කේතය යෙදුම්-විශේෂිත කර්නලයක් සමඟ ඒකාබද්ධ කර විශේෂිත දෘඩාංග මත පැටවිය හැකි සහ ධාවනය කළ හැකි මොනොලිතික් ක්‍රියාත්මක කළ හැකි එකක් සාදයි. සියලුම පද්ධති සම්පත් සම්පාදනය කරන අවස්ථාවේ දී තීරණය කරනු ලැබේ, කේත ප්රමාණය අඩු කිරීම සහ කාර්ය සාධනය වැඩි කිරීම. පද්ධති රූපයට ඇතුළත් කළ හැක්කේ යෙදුම ක්‍රියාත්මක කිරීමට අවශ්‍ය කර්නල් විශේෂාංග පමණි.
Zephyr හි ප්රධාන වාසි අතර එය සැලකිය යුතු කරුණකි ආරක්ෂාව මනසේ තබාගෙන සංවර්ධනය. සංවර්ධනයේ සියලුම අදියරයන් කේතයේ ආරක්ෂාව තහවුරු කිරීමේ අනිවාර්ය අවධීන් වලට භාජනය වන බව: අපැහැදිලි පරීක්ෂාව, ස්ථිතික විශ්ලේෂණය, විනිවිද යාමේ පරීක්ෂාව, කේත සමාලෝචනය, පිටුපස දොර ක්‍රියාත්මක කිරීම විශ්ලේෂණය සහ තර්ජන ආකෘතිකරණය.
මූලාශ්රය: opennet.ru