Claroty va JFrog tadqiqotchilari yagona bajariladigan fayl sifatida paketlangan standart UNIX utilitlari to‘plamini taklif qiluvchi, o‘rnatilgan qurilmalarda keng qo‘llaniladigan BusyBox paketining xavfsizlik auditi natijalarini e’lon qilishdi. Audit BusyBox 14 avgust oyidagi relizda tuzatilgan 1.34 ta zaiflikni aniqladi. Deyarli barcha muammolar haqiqiy hujumlarda foydalanish nuqtai nazaridan zararsiz va shubhali, chunki ular tashqaridan olingan dalillar bilan ishlaydigan yordamchi dasturlarni talab qiladi.
Alohida, CVE-2021-42374 zaifligi alohida ajratilgan bo'lib, u unlzma yordam dasturi bilan maxsus mo'ljallangan siqilgan faylni qayta ishlashda va CONFIG_FEATURE_SEAMLESS_LZMA opsiyalaridan boshqa BusyBox tomonidan yaratilganda xizmat ko'rsatishni rad etishga imkon beradi. komponentlar, jumladan, tar, unzip, rpm, dpkg, lzma va man .
CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 va CVE-2021-42377 zaifliklari xizmat ko'rsatishni rad etishga olib kelishi mumkin, ammo man, ash va hush yordam dasturlarini tajovuzkor tomonidan belgilangan parametrlar bilan ishga tushirishni talab qiladi. . CVE-2021-42378 dan CVE-2021-42386 gacha bo'lgan zaifliklar awk yordam dasturiga ta'sir qiladi va potentsial kod bajarilishiga olib kelishi mumkin, ammo buning uchun tajovuzkor awk-da ma'lum bir naqshni bajarishi kerak (qabul qilingan ma'lumotlar bilan awk-ni boshlash kerak) hujumchidan).
Bundan tashqari, gethostbyname(), getaddrinfo(), gethostbyaddr() va getnameinfo() funksiyalariga kirishda uclibc va uclibc-ng kutubxonalaridagi zaiflikni (CVE-2021-43523) ham qayd etish mumkin. domen nomi tekshirilmagan va tozalanmagan. DNS server tomonidan qaytarilgan nom. Masalan, ma'lum bir hal qilish so'roviga javoban, tajovuzkor tomonidan boshqariladigan DNS server "forma xostlarini qaytarishi mumkin" alert(‘xss’) .attacker.com” va ular tozalanmasdan veb-interfeysda ko'rsatishi mumkin bo'lgan ba'zi dasturlarga o'zgarmagan holda qaytariladi. Muammo uclibc-ng 1.0.39 versiyasida Glibc ga o'xshash qaytarilgan domen nomlarini tekshirish uchun kod qo'shish orqali hal qilindi.
Manba: opennet.ru