В GNU libopts до версии 27.6 обнаружена уязвимость, классифицированная как проблематичная. Затронута функция __strstr_sse2. Манипуляция при…
В GNU libopts до версии 27.6 обнаружена уязвимость, классифицированная как проблематичная. Затронута функция __strstr_sse2. Манипуляция приводит к повреждению памяти. Для осуществления этой атаки требуется локальный доступ. Эксплойт был раскрыт общественности и может быть использован [1]. Эта проблема изначально была сообщена проекту tcpreplay, но сопровождающий код объясняет, что «эта ошибка, по-видимому, находится в libopts, которая является внешней библиотекой». Эта уязвимость затрагивает только продукты, которые больше не поддерживаются сопровождающим. ## Подробности уязвимости Во время тестирования на наличие ошибок была обнаружена критическая уязвимость, связанная с ошибкой сегментации, в утилите tcpliveplay из пакета tcpreplay. Уязвимость возникает в функции `__strstr_sse2` внутри библиотеки обработки строк GNU libc, запускаемой при обработке поврежденных файлов конфигурации через параметр командной строки `--load-opts`. Это приводит к нарушениям доступа к памяти и завершению работы программы. ### Технические подробности - **Тип уязвимости**: Ошибка сегментации / Переполнение буфера - **Затронутая функция**: `__strstr_sse2` - **Файл**: `strstr.c` - **Номер строки**: 84:31 - **Сигнал**: SIGABRT (6) - **Доступ к памяти**: Чтение по адресу 0xffffffffffffffe0 ## Механизм и основная причина уязвимости Эта уязвимость вызвана неправильной проверкой входных данных и проверкой границ памяти в логике обработки файлов конфигурации библиотеки libopts. Коренная причина лежит в функции `remove_settings`, где строковые операции выполняются над поврежденными или созданными входными данными. Шаги, приводящие к уязвимости: 1. Параметр `--load-opts` указывает на поврежденный файл конфигурации. 2. Функция `optionProcess` инициирует обработку файла конфигурации в `autoopts.c:367`. 3. Управление передается `optionSaveFile` в `save.c:828` для операций с файлами. 4. Функция `open_sv_file` в `save.c:564` пытается обработать файл. 5. Функция `remove_settings` в `save.c:499` выполняет операции поиска строки с помощью `strstr`. 6. Реализация `__strstr_sse2` обнаруживает недопустимые адреса памяти (0xffffffffffffffe0). Это создает классическое условие переполнения буфера, при котором программа пытается получить доступ к памяти за пределами допустимых границ во время операций сопоставления строк. Недопустимый адрес `0xffffffffffffffe0` указывает на попытку чтения из места вблизи конца виртуального адресного пространства, что предполагает переполнение или повреждение арифметики указателей. ### Отчет AddressSanitizer ``` AddressSanitizer:DEADLYSIGNAL ... ``` ## Эксплуатация и шаги воспроизведения 1. Скомпилируйте tcpliveplay с AddressSanitizer. 2. Выполните: `tcpliveplay --load-opts POC_tcpliveplay_segmentation_fault_strstr_sse2`. 3. Программа завершится с ошибкой сегментации. ## Затронутые версии tcpreplay версии 6fcbf03 (последний мастер в https://github.com/appneta/tcpreplay). **Благодарность** - Xudong Cao (UCAS) - Yuqing Zhang (UCAS, Zhongguancun Laboratory) Источники: - [1] https://vuldb.com/?id.319242 - [2] https://vuldb.com/?ctiid.319242 - [3] https://vuldb.com/?submit.623632 - [4] https://github.com/appneta/tcpreplay/issues/957 - [5] https://github.com/appneta/tcpreplay/issues/957#issuecomment-3124774393
Продукт выполняет операции с буфером памяти, но читает или записывает данные за пределами предназначенной границы буфера. Это может приводить к операциям чтения или записи в неожиданные области памяти, которые могут быть связаны с другими переменными, структурами данных или внутренними данными программы.
https://cwe.mitre.org/data/definitions/119.html →Открыть в коллекции CWE →Данная атака направлена на библиотеки или модули совместного кода, уязвимые к атакам типа «переполнение буфера». Злоумышленник, знающий об известных уязвимых библиотеках или совместном коде, может легко атаковать программное обеспечение, использующее эти библиотеки. Все клиенты, использующие данную кодовую библиотеку, становятся уязвимыми по ассоциации. Это оказывает широкое влияние на безопасность системы, как правило затрагивая более одного программного процесса.
https://capec.mitre.org/data/definitions/8.html →Открыть в коллекции CAPEC →Данная атака направлена против утилит командной строки, доступных во многих командных оболочках. Злоумышленник может использовать уязвимость в утилите командной строки для повышения привилегий до уровня root.
https://capec.mitre.org/data/definitions/9.html →Открыть в коллекции CAPEC →Данный шаблон атаки предполагает вызов переполнения буфера путём манипуляции переменными окружения. Обнаружив возможность изменить переменную окружения, злоумышленник может попытаться переполнить связанные с ней буферы. Атака использует неявное доверие, которое нередко оказывается переменным окружения.
https://capec.mitre.org/data/definitions/10.html →Открыть в коллекции CAPEC →Данный тип атаки эксплуатирует уязвимость переполнения буфера в клиентском программном обеспечении путём внедрения вредоносного содержимого из специально созданного враждебного сервиса. Враждебный сервис создаётся для доставки нужного содержимого клиентскому программному обеспечению. Например, если клиентским приложением является браузер, сервис будет хостить веб-страницу, которую браузер загрузит.
https://capec.mitre.org/data/definitions/14.html →Открыть в коллекции CAPEC →В данной атаке цель состоит в том, чтобы вызвать отказ активного фильтра путём создания чрезмерно большой транзакции. Злоумышленник может попытаться передать программе слишком длинные входные строки, чтобы перегрузить фильтр (вызвав переполнение буфера) в надежде, что фильтр не выйдет из строя безопасным образом (то есть пользовательский ввод попадёт в систему без фильтрации).
https://capec.mitre.org/data/definitions/24.html →Открыть в коллекции CAPEC →Злоумышленник эксплуатирует слабость в процедуре MIME-конвертации, чтобы вызвать переполнение буфера и получить контроль над почтовым сервером. Система MIME разработана для того, чтобы различные форматы данных могли быть интерпретированы и отправлены по электронной почте. Точки атаки существуют при преобразовании данных в MIME-совместимый формат и обратно.
https://capec.mitre.org/data/definitions/42.html →Открыть в коллекции CAPEC →Атака данного типа эксплуатирует уязвимость переполнения буфера при обработке двоичных ресурсов. К двоичным ресурсам относятся музыкальные файлы (например, MP3), файлы изображений (например, JPEG) и любые другие двоичные файлы. Подобные атаки могут остаться незамеченными для клиентской машины в ходе обычного использования файлов, например при загрузке внешне безобидного JPEG-файла браузером. Это позволяет злоумышленнику получить доступ к стеку выполнения и выполнить произвольный код в целевом процессе.
https://capec.mitre.org/data/definitions/44.html →Открыть в коллекции CAPEC →Данный тип атаки использует символические ссылки для вызова переполнения буфера. Злоумышленник может попытаться создать или модифицировать файл символической ссылки таким образом, чтобы её содержимое привело к выходу данных за пределы допустимого диапазона. Когда целевое программное обеспечение обрабатывает файл символической ссылки, оно потенциально может переполнить внутренние буферы из-за недостаточной проверки границ.
https://capec.mitre.org/data/definitions/45.html →Открыть в коллекции CAPEC →Данный тип атаки использует теги или переменные из форматированных конфигурационных данных для вызова переполнения буфера. Злоумышленник создаёт вредоносную HTML-страницу или файл конфигурации с чрезмерно длинными строками, что приводит к переполнению.
https://capec.mitre.org/data/definitions/46.html →Открыть в коллекции CAPEC →В данной атаке целевому программному обеспечению передаются входные данные, которые злоумышленник заранее знает будут изменены и увеличены в размере в процессе обработки. Атака основана на том, что целевое программное обеспечение не предусматривает возможность превышения расширенными данными некоторого внутреннего предела, что приводит к переполнению буфера.
https://capec.mitre.org/data/definitions/47.html →Открыть в коллекции CAPEC →Атаки типа «Переполнение буфера» направлены против некорректной или отсутствующей проверки границ при операциях с буфером, которые, как правило, инициируются входными данными, внедрёнными злоумышленником. В результате злоумышленник получает возможность записывать данные за границами выделенных областей буфера в памяти, что приводит к аварийному завершению программы или, в зависимости от выбора злоумышленника, к перенаправлению потока исполнения.
https://capec.mitre.org/data/definitions/100.html →Открыть в коллекции CAPEC →Злоумышленник манипулирует взаимодействием приложения с буфером с целью чтения или изменения данных, к которым у него не должно быть доступа. Атаки на буфер отличаются тем, что объектом атаки является само пространство буфера, а не код, отвечающий за интерпретацию его содержимого. Практически во всех атаках на буфер содержимое, помещаемое в буфер, не имеет значения. Большинство атак на буфер предполагают извлечение или предоставление входных данных в объёме, превышающем ёмкость выделенного буфера, что приводит к чтению или перезаписи другой непредвиденной памяти программы.
https://capec.mitre.org/data/definitions/123.html →Открыть в коллекции CAPEC →