Studiuesit nga Claroty dhe JFrog kanë publikuar rezultatet e një auditimi sigurie të paketës BusyBox, e përdorur gjerësisht në pajisjet e integruara dhe që ofron një grup shërbimesh standarde UNIX të paketuara në një skedar të vetëm të ekzekutueshëm. Gjatë skanimit, u identifikuan 14 dobësi, të cilat tashmë janë rregulluar në versionin gusht të BusyBox 1.34. Pothuajse të gjitha problemet janë të padëmshme dhe të dyshimta nga pikëpamja e përdorimit në sulme reale, pasi ato kërkojnë ekzekutimin e shërbimeve me argumente të marra nga jashtë.
Një cenueshmëri e veçantë është CVE-2021-42374, e cila ju lejon të shkaktoni një mohim shërbimi kur përpunoni një skedar të kompresuar posaçërisht me programin unlzma, dhe në rastin e montimit me opsionet CONFIG_FEATURE_SEAMLESS_LZMA, gjithashtu me çdo përbërës tjetër të BusyBox, duke përfshirë. tar, unzip, rpm, dpkg, lzma dhe man .
Dobësitë CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 dhe CVE-2021-42377 mund të shkaktojnë një refuzim të shërbimit, por kërkojnë funksionimin e shërbimeve man, ash dhe hush me parametrat e specifikuar nga sulmuesi. Dobësitë CVE-2021-42378 deri në CVE-2021-42386 ndikojnë në programin awk dhe potencialisht mund të çojnë në ekzekutimin e kodit, por për këtë sulmuesi duhet të sigurojë që një model i caktuar të ekzekutohet në awk (është e nevojshme të ekzekutohet awk me të dhënat e marra nga sulmuesi).
Për më tepër, mund të vini re gjithashtu një dobësi (CVE-2021-43523) në bibliotekat uclibc dhe uclibc-ng, për shkak të faktit se kur qaseni në funksionet gethostbyname(), getaddrinfo(), gethostbyaddr() dhe getnameinfo(), emri i domenit nuk është i kontrolluar dhe emri i pastruar kthehet nga serveri DNS. Për shembull, në përgjigje të një kërkese për zgjidhje të caktuar, një server DNS i kontrolluar nga një sulmues mund të kthejë hoste si " alert(‘xss’) .attacker.com" dhe ato do të kthehen të pandryshuara në ndonjë program që, pa pastrim, mund t'i shfaqë në ndërfaqen e internetit. Problemi u rregullua në lëshimin e uclibc-ng 1.0.39 duke shtuar kodin për të kontrolluar korrektësinë e emrave të domain të kthyer, të zbatuar në mënyrë të ngjashme me Glibc.
Burimi: opennet.ru