zlib لائبریری میں ایک کمزوری (CVE-2018-25032) کی نشاندہی کی گئی ہے، جس کے نتیجے میں آنے والے ڈیٹا میں حروف کی خصوصی طور پر تیار کردہ ترتیب کو کمپریس کرنے کی کوشش کرتے وقت بفر اوور فلو ہوتا ہے۔ اس کی موجودہ شکل میں، محققین نے کسی عمل کو غیر معمولی طور پر ختم کرنے کی صلاحیت کا مظاہرہ کیا ہے۔ آیا اس مسئلے کے مزید سنگین نتائج ہو سکتے ہیں اس کا ابھی تک مطالعہ نہیں کیا گیا ہے۔
کمزوری ورژن zlib 1.2.2.2 سے شروع ہوتی ہے اور zlib 1.2.11 کی موجودہ ریلیز کو بھی متاثر کرتی ہے۔ یہ قابل ذکر ہے کہ کمزوری کو درست کرنے کے لیے ایک پیچ 2018 میں تجویز کیا گیا تھا، لیکن ڈویلپرز نے اس پر توجہ نہیں دی اور اصلاحی ریلیز جاری نہیں کی (zlib لائبریری کو آخری بار 2017 میں اپ ڈیٹ کیا گیا تھا)۔ تقسیم کے ذریعہ پیش کردہ پیکجوں میں فکس ابھی تک شامل نہیں ہے۔ آپ ان صفحات پر تقسیم کے ذریعہ اصلاحات کی اشاعت کو ٹریک کرسکتے ہیں: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD۔ zlib-ng لائبریری مسئلہ سے متاثر نہیں ہے۔
کمزوری اس وقت ہوتی ہے جب ان پٹ سٹریم میں پیک کیے جانے والے میچز کی ایک بڑی تعداد ہوتی ہے، جس پر فکسڈ ہف مین کوڈز کی بنیاد پر پیکنگ لاگو ہوتی ہے۔ بعض حالات میں، انٹرمیڈیٹ بفر کے مواد جس میں کمپریسڈ نتیجہ رکھا جاتا ہے اس میموری کو اوورلیپ کر سکتا ہے جس میں علامت فریکوئنسی ٹیبل کو محفوظ کیا جاتا ہے۔ نتیجے کے طور پر، غلط کمپریسڈ ڈیٹا تیار ہوتا ہے اور بفر باؤنڈری سے باہر لکھنے کی وجہ سے کریش ہو جاتا ہے۔
فکسڈ ہف مین کوڈز پر مبنی کمپریشن حکمت عملی کے ذریعے ہی کمزوری کا فائدہ اٹھایا جا سکتا ہے۔ اسی طرح کی حکمت عملی کا انتخاب اس وقت کیا جاتا ہے جب Z_FIXED آپشن کو کوڈ میں واضح طور پر فعال کیا جاتا ہے (ایک ترتیب کی مثال جو Z_FIXED آپشن استعمال کرتے وقت کریش کا باعث بنتی ہے)۔ کوڈ کے لحاظ سے، Z_FIXED حکمت عملی بھی خود بخود منتخب کی جا سکتی ہے اگر ڈیٹا کے لیے شمار کیے گئے بہترین اور جامد درختوں کا سائز ایک جیسا ہو۔
یہ ابھی تک واضح نہیں ہے کہ آیا پہلے سے طے شدہ Z_DEFAULT_STRATEGY کمپریشن حکمت عملی کا استعمال کرتے ہوئے خطرے سے فائدہ اٹھانے کے لیے حالات منتخب کیے جا سکتے ہیں۔ اگر نہیں، تو پھر کمزوری کچھ مخصوص سسٹمز تک محدود رہے گی جو واضح طور پر Z_FIXED آپشن استعمال کرتے ہیں۔ اگر ایسا ہے تو، پھر کمزوری سے ہونے والا نقصان بہت اہم ہو سکتا ہے، کیونکہ zlib لائبریری ایک حقیقی معیار ہے اور اسے بہت سے مشہور پروجیکٹس میں استعمال کیا جاتا ہے، بشمول Linux kernel، OpenSSH، OpenSSL، apache httpd، libpng، FFmpeg، rsync، dpkg ، rpm، Git، PostgreSQL، MySQL، وغیرہ۔
ماخذ: opennet.ru