Podatności gvfs

W backendzie MTP w gvfs występuje błąd polegający na tym, że funkcja do_read() w gvfsbackendmtp.c ufa długości danych zwracanych przez urządzenie bez ograniczania jej do rozmiaru żądanego przez klienta. Złośliwe urządzenie MTP może odpowiedzieć większą liczbą bajtów niż żądano, co prowadzi do odczytu pamięci poza zamierzonymi granicami i może spowodować błąd segmentacji procesu gvfsd-mtp, prowadząc do odmowy usługi.

W backendzie AFP w gvfs występuje błąd polegający na tym, że podczas montowania udziału złośliwy serwer AFP może spowodować, że ścieżka odczytu DSI przetworzy długość przekraczającą rozmiar żądany przez klienta. Funkcja nie weryfikuje długości dostarczonej przez serwer względem wstępnie przygotowanego bufora odpowiedzi, co prowadzi do dostępu poza zamierzone granice. Problem ten pozwala złośliwemu serwerowi na przepełnienie bufora sterty i awarię procesu gvfsd-afp, prowadząc do odmowy usługi.

W backendzie SFTP w gvfs wykryto błąd. Podczas montowania udziału i odczytu pliku złośliwy serwer SFTP może spowodować, że funkcja read_reply() przetworzy długość większą niż żądana przez klienta, co prowadzi do zapisu poza zamierzone granice pamięci. Może to spowodować uszkodzenie sterty w procesie gvfsd-sftp, prowadząc do odmowy usługi lub potencjalnie do wykonania dowolnego kodu.

W backendzie SFTP w gvfs występuje błąd polegający na tym, że funkcja read_string() alokuje bufor o określonej długości, ale nie weryfikuje, czy bufor jest całkowicie wypełniony, pozostawiając resztę bufora z niezainicjalizowaną zawartością sterty. Jeśli serwer wyśle krótką odpowiedź FXP_HANDLE, te niezainicjalizowane bajty są traktowane jako uchwyt pliku. Klient następnie odsyła te bajty z powrotem do serwera w kolejnych żądaniach. Przy długości 128 bajtów złośliwy serwer może deterministycznie odczytać niezainicjalizowaną pamięć sterty z procesu gvfsd-sftp, ujawniając bazę sterty i adres załadowania biblioteki libgio, co prowadzi do deterministycznego obejścia ASLR.