En sårbarhet i biblioteket med den primära implementeringen av SHA-3-algoritmen

I genomförandet av hash-funktionen SHA-3 (Keccak), som erbjuds i paketet XKCP (eXtended Keccak Code Package), har en sårbarhet (CVE-2022-37454) upptäckts som kan leda till en buffertöverskridning vid bearbetning av vissa formaterade data. Problemet orsakas av ett fel i koden för den specifika implementationen av SHA-3, och inte av sårbarheten i själva algoritmen. Paketet XKCP presenteras som den officiella implementationen av SHA-3, utvecklas med deltagande av Keccak-utvecklarteamet och används som grund i funktioner för att arbeta med SHA-3 i olika programmeringsspråk (till exempel används koden från XKCP i Python-modulen hashlib, Ruby-paketet digest-sha3 och PHP-funktionerna hash_*).

Enligt forskaren som upptäckte problemet lyckades denne använda sårbarheten för att bryta mot de kryptografiska egenskaperna hos hash-funktionen och hitta första och andra preimage, samt bestämma kollisioner. Dessutom rapporterades att en prototyp av en exploiter finns, som gör det möjligt att utföra kod vid beräkning av hash av en specifikt formaterad fil. Potentiellt kan sårbarheten också användas för attacker mot algoritmer som verifierar digitala signaturer som använder SHA-3 (till exempel Ed448). Det planeras att publicera detaljer om attackmetoder senare, efter att sårbarheten har åtgärdats allmänt.

Hur mycket sårbarheten påverkar befintliga applikationer i praktiken är fortfarande oklart, eftersom problemet i koden måste involvera cyklisk hashberäkning blockvis och en av de bearbetade blocken måste ha en storlek av omkring 4 GB (minst 2^32 — 200 byte). När ingångsdata bearbetas på en gång (utan sekventiell hashberäkning i delar) uppstår problemet inte. Som den enklaste metoden för skydd föreslås att begränsa den maximala storleken på data som ingår i en enda iteration av hashberäkningen.

Sårbarheten orsakas av ett fel vid blockbearbetning av indata. På grund av ett felaktigt jämförelse av värden av typen "int" bestäms en felaktig storlek på de data som väntar på bearbetning, vilket leder till att svansen skrivs utanför den tilldelade bufferten. Specifikt användes uttrycket "partialBlock + instance->byteIOIndex" vid jämförelsen, vilket vid stora värden på delarna ledde till ett heltalsöverskridande. Dessutom fanns det en felaktig typkonvertering i koden "(unsigned int)(dataByteLen - i)", vilket ledde till överskridande på system med 64-bitars typ av size_t.

Exempel på kod som leder till överskridande: import hashlib h = hashlib.sha3_224() m1 = b"" * 1; m2 = b"" * 4294967295; h.update(m1) h.update(m2) print(h.hexdigest())

Källa: opennet.ru