Një dobësi është identifikuar në bibliotekën standarde C Musl (CVE-2024-2961), që çon në mbushje buffer-i kur konvertohet një tekst i veçantë nga kodimi EUC-KR në UTF-8 përmes funksionit iconv(). Kjo dobësi shfaqet që nga versioni musl 0.9.13 dhe do të rregullohet në publikimin që është në përgatitje 1.2.6 (deri në publikimin e përditësimit, duhet përdorur patch). Dobësia është zbuluar nga shoqëruesi i bibliotekës libxml2 gjatë testimeve fuzzing.
Vulnerabiliteti mund të përdoret për të kryer sulme ndaj aplikacioneve që janë ndërtuar me bibliotekën Musl dhe që kryejnë rikodimin e tekstit të marrë nga burime të jashtme. Shfrytëzimi i këtij vulnerabiliteti është i mundur kur thirret në aplikacion funksioni iconv_open() me caktimin e kodimit fillestar EUC-KR dhe kodimit final UTF-8. Si shembuj të aplikacioneve potencialisht të cenueshme përmenden programet që rikodojnë XML, HTML dhe mesazhe elektronike në përputhje me kodimin që është caktuar në tituj me tipin MIME (p.sh., "text/plain; charset=EUC-KR"). Për shembull, një rikodim të tillë kryejnë programet që përdorin bibliotekën libxml2.
Vulnerabiliteti shkaktohet nga një kombim i dy gabimeve. Gabimi i parë lidhet me mungesën e një kontrolli të duhur të sekuencave shumëbyte të pavlefshme në dekoduesin EUC-KR. Gabimi i dytë paraqitet në koduesin UTF-8, i cili nuk ishte kalkuluar për faktin se dekoduesi i të dhënave hyrëse mund të kthejë vlera të papranueshme Unicode. Si rezultat, përpunimi i sekuencave si "\xc8\x41" çon në shkruarjen e vlerave në një zonë jashtë kufijve të buffers së caktuar.
Burimi: opennet.ru
