{"id":121941,"date":"2025-02-14T20:22:09","date_gmt":"2025-02-14T18:22:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr"},"modified":"2025-02-14T20:22:09","modified_gmt":"2025-02-14T18:22:09","slug":"uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-v-musl-ekspluatiruemaya-pri-perekodirovanii-teksta-v-kodirovke-euc-kr","title":{"rendered":"S\u00e5rbarhet i Musl som utnyttjas vid omkodning av text i EUC-KR-teckenkodning.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I Musl standardbibliotek f\u00f6r C har en s\u00e5rbarhet identifierats (CVE-2024-2961) som leder till buffertoverflow vid omvandling av speciellt formaterad text fr\u00e5n EUC-KR till UTF-8 med funktionen iconv(). S\u00e5rbarheten f\u00f6rekommer fr\u00e5n version 0.9.13 av musl och kommer att \u00e5tg\u00e4rdas i den kommande versionen 1.2.6 (tills uppdateringen publiceras b\u00f6r en patch anv\u00e4ndas). S\u00e5rbarheten uppt\u00e4cktes av libxml2-biblioteket under fuzzing-testning. <\/p>\n
S\u00e5rbarheten kan anv\u00e4ndas f\u00f6r att utf\u00f6ra attacker mot applikationer som \u00e4r byggda med Musl-biblioteket och som utf\u00f6r textomkodning fr\u00e5n externa k\u00e4llor. Utnyttjande av s\u00e5rbarheten \u00e4r m\u00f6jligt genom att i applikationen kalla p\u00e5 funktionen iconv_open() med EUC-KR som k\u00e4llkodning och UTF-8 som m\u00e5l kodning. Som exempel p\u00e5 potentiellt s\u00e5rbara applikationer n\u00e4mns program som omkodar XML, HTML och e-postmeddelanden baserat p\u00e5 kodningen angiven i MIME-typens rubrik (till exempel «text\/plain; charset=EUC-KR»). Exempelvis utf\u00f6r program som anv\u00e4nder libxml2 liknande omkodningar. <\/p>\n
S\u00e5rbarheten orsakas av en kombination av tv\u00e5 fel. Det f\u00f6rsta felet \u00e4r relaterat till bristen p\u00e5 tillr\u00e4cklig validering av ogiltiga flerm\u00e4ldssekvenser i EUC-KR-dekodern. Det andra felet finns i UTF-8-kodaren, som inte var utformad f\u00f6r att dekodern av inmatningen kan returnera ogiltiga Unicode-skal\u00e4rv\u00e4rden. Som ett resultat leder bearbetningen av sekvenser som «\xc8\x41» till att v\u00e4rden skrivs till omr\u00e5det utanf\u00f6r den tilldelade bufferten. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"