Podatności HDF5

W HDF5 w wersji 1.10.1 występuje podatność na zapis poza granicami w funkcji H5G__ent_decode_vec w pliku H5Gcache.c w bibliotece libhdf5.a. Na przykład, użycie narzędzia h5dump może spowodować awarię lub inne nieokreślone skutki, gdy otworzy się spreparowany plik hdf5.

Biblioteka HDF5 w wersji 1.8.16 ma lukę, która pozwala na modyfikację wskaźnika pętli inicjalizującej tablicę, co może prowadzić do wskazywania poza granice tablicy. Wartość używana do alokacji przestrzeni pochodzi z pliku, co stwarza ryzyko manipulacji przez atakującego.

Biblioteka HDF5 w wersji 1.8.16 nie sprawdza, czy określone typy wiadomości obsługują dany znacznik, co prowadzi do rzutowania struktury na alternatywną strukturę i przypisywania wartości do pól, które nie są obsługiwane przez typ wiadomości. Może to skutkować wykonaniem kodu w kontekście biblioteki.

Podczas dekodowania danych z zestawu danych zakodowanego przy użyciu dekodowania H5Z_NBIT, biblioteka HDF5 w wersji 1.8.16 nie zapewnia, że precyzja mieści się w granicach rozmiaru, co prowadzi do możliwości wykonania dowolnego kodu.

W bibliotece HDF5 w wersji 1.8.16 występuje błąd polegający na braku sprawdzenia, czy liczba wymiarów tablicy odczytanej z pliku mieści się w granicach przydzielonej dla niej przestrzeni. Może to prowadzić do przepełnienia bufora na stercie, co potencjalnie umożliwia wykonanie dowolnego kodu.

Podatność w HDF5 do wersji 2.3.0 w funkcji H5Z__filter_fletcher32 w pliku H5Zfletcher32.c. Funkcja oblicza długość danych do sumy kontrolnej, odejmując 4-bajtowy rozmiar sumy kontrolnej od rozmiaru bufora wejściowego bez sprawdzenia, czy bufor ma co najmniej 4 bajty, co pozwala na niedomiar size_t. Atakujący może spowodować odmowę usługi (masywne odczyty poza zakresem i awarię aplikacji) poprzez spreparowany plik HDF5 z fragmentem filtrowanym Fletcher32 mniejszym niż 4 bajty, wyzwalanym przez H5Dread, np. przez narzędzia h5ls lub h5dump.

Podatność w HDF5 do wersji 2.3.0 w funkcjach H5Z__nbit_decompress_one_byte, H5Z__nbit_decompress_one_nooptype i H5Z__nbit_decompress_one_atomic w pliku H5Znbit.c. Funkcje przesuwają indeks odczytu w buforze skompresowanego fragmentu bez ograniczenia go do rzeczywistego rozmiaru bufora. Atakujący może spowodować odczyt poza zakresem sterty, a w ograniczonych przypadkach ujawnienie sąsiedniej pamięci sterty do wartości zestawu danych, poprzez spreparowany plik HDF5, którego parametry filtra N-Bit opisują więcej zdekompresowanych danych niż faktycznie zawiera skompresowany fragment, wyzwalany przez H5Dread, np. przez narzędzia h5ls lub h5repack.

Funkcja H5Z__filter_nbit w pliku H5Znbit.c w HDF5 do wersji 2.3.0 włącznie dereferencjonuje cd_values[0] do cd_values[4] bez walidacji, czy cd_values nie jest NULL-em lub czy cd_nelmts jest co najmniej 5 (stały rozmiar nagłówka filtra). Pozwala to atakującym na spowodowanie odmowy usługi przez spreparowany plik HDF5, który przechowuje komunikat potoku filtra N-Bit z zerowymi wartościami client-data, otwierany i odczytywany przez H5Dread, np. przez narzędzia h5ls lub h5repack.

Funkcja H5O__layout_decode w pliku H5Olayout.c w HDF5 do wersji 2.3.0 włącznie nie waliduje, czy przechowywana wymiarowość układu chunków dla zestawu danych chunked odpowiada rangowi dataspace, gdy otwierany jest istniejący zestaw danych, podczas gdy ta kontrola jest wykonywana tylko podczas tworzenia zestawu danych. Pozwala to atakującym na spowodowanie odmowy usługi (dzielenie przez zero i awaria aplikacji w H5S__hyper_iter_get_seq_list w src/H5Shyper.c) przez spreparowany plik HDF5 z niedopasowanymi rangami chunk/dataspace, otwierany i odczytywany przez H5Dopen2 i H5Dread, np. przez narzędzie h5repack.

Podatność na dereferencję pustego wskaźnika w funkcji H5Pget_fill_value w HDF5 przed wersją 2.3.0. Atakujący może spowodować odmowę usługi poprzez zestaw danych z flagą 'defined' i ujemnym rozmiarem pola.

Niebezpieczne wyłuskanie wskaźnika w funkcji render_bin_output w narzędziu h5dump w HDF5 przed wersją 2.3.0 umożliwia atakującym spowodowanie odmowy usługi przez zmienną długość łańcucha znaków z więcej niż jednym elementem zrzucanym w trybie binarnym, co psuje obliczenia kroku dla elementu i powoduje odczyt kolejnych elementów z nieprawidłowego przesunięcia i wyłuskanie jako wskaźnika.

W bibliotece HDF5 występuje podatność na dereferencję wskaźnika NULL. Przetworzenie spreparowanego pliku HDF5 zawierającego atrybut z nieprawidłowym polem typu o zmiennej długości może spowodować awarię aplikacji podczas odczytu atrybutu.

W bibliotece HDF5 odkryto podatność podwójnego zwolnienia pamięci. Przetworzenie spreparowanego pliku HDF5 z nadmiernie dużym polem rozmiaru fragmentu za pomocą narzędzia h5repack może spowodować przerwanie działania aplikacji z powodu podwójnego zwolnienia.

W bibliotece HDF5 do wersji 2.1.1 występuje przepełnienie bufora sterty w kodzie deserializacji listy indeksów SOHM. Przetworzenie spreparowanego pliku HDF5, w którym indeks listy komunikatów współdzielonych deklaruje liczbę komunikatów przekraczającą list_max, powoduje odczyty i zapisy poza zakresem sterty w funkcjach H5SM__cache_list_deserialize i H5SM__cache_list_verify_chksum, co prowadzi do awarii.

Podatność w bibliotece HDF5: wywołanie `H5Iget_name` na identyfikatorze grupy z parametrem rozmiaru równym 0 powoduje niedomiar (underflow) przy próbie umieszczenia znaku null w buforze. Może to prowadzić do nieoczekiwanego zachowania, jeśli przed buforem znajdują się ważne dane.

Biblioteka HDF5 jest podatna na odczyt poza zakresem, gdy plik jest celowo uszkodzony – rozmiar typu danych tablicy, liczba elementów i rozmiar elementu są niezgodne. Podatność występuje tylko w złośliwie zmodyfikowanych plikach, nie w normalnym użyciu.

W bibliotece HDF5 w wersji 1.14.1-2 i wcześniejszych odkryto podatność polegającą na użyciu zwolnionej pamięci sterty (heap-use-after-free) w narzędziu pomocniczym h5dump. Atakujący może dostarczyć złośliwy plik h5, co prowadzi do odwołania do zwolnionego obiektu w wywołaniu memmove z funkcji H5T__conv_struct.

W HDF5 przed wersją 1.14.4-2 wykryto podatność polegającą na przepełnieniu sterty (heap buffer overflow) podczas zapisu, którą można wykorzystać poprzez kontrolowany plik `h5`. Atakujący może doprowadzić do odmowy usługi (DoS), a w sprzyjających warunkach potencjalnie do zdalnego wykonania kodu (RCE).