Në bibliotekën standarde C Musl është zbuluar një dobësi (CVE-2024-2961) që çon në mbingarkesë të buffers gjatë konvertimit të tekstit të formatuar posaçërisht nga kodimi EUC-KR në UTF-8 përmes funksionit iconv(). Dobësia shfaqet që nga versioni musl 0.9.13 dhe do të rregullohet në publikimin e ardhshëm 1.2.6 (para publikimit të azhurnimit duhet përdorur një patch). Dobësia është zbuluar nga mbështetësi i bibliotekës libxml2 gjatë testimit fuzzing.
Dëmtueshmëria mund të përdoret për të ushtruar sulme ndaj aplikacioneve të ndërtuara me bibliotekën Musl dhe që kryejnë ricodimin e tekstit të marrë nga burime të jashtme. Shfrytëzimi i kësaj të metë mund të ndodhë kur thirret funksioni iconv_open() në aplikacion me caktimin e kodimit burimor EUC-KR dhe kodimit të qëllimit UTF-8. Siç mund të përmenden si shembuj të aplikacioneve potencialisht të cenueshme janë programet që ricodifikojnë XML, HTML dhe mesazhe emaili në bazë të kodimit që është shpallur në titullin me MIME-tipi (p.sh., "text/plain; charset=EUC-KR"). Programet që përdorin bibliotekën libxml2 kryejnë ricodimin e tillë.
Dëmtueshmëria shkaktohet nga një kombinim i dy gabimeve. Gabimi i parë lidhet me mungesën e kontrollit të duhur mbi sekuencat shumëbyte të papërshtatshme në dekoderin EUC-KR. Gabimi i dytë ndodhet në koduesin UTF-8, i cili nuk ishte llogaritur për faktin se dekoderi i të dhënave të inputit mund të kthejë vlera të papranueshme Unicode. Si rezultati, trajtimi i sekuencave si «\xc8\x41» çon në shkruajtjen e vlerave jashtë kufijve të memorizimit të rezervuar.
Burimi: opennet.ru
