Podatności libpcap

Interpretator BPF w libpcap traktuje przesunięcie w instrukcji BPF 'ja L' jako liczbę całkowitą ze znakiem, aby zaimplementować pętle za pomocą skoków wstecz, ale nie ogranicza liczby iteracji pętli. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtrujący może spowodować nieskończoną pętlę w interpretatorze.

Interpretator BPF w libpcap dla instrukcji ALU 'div #k' i 'mod #k' nie sprawdza, czy wartość bezpośrednia jest zerowa. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtrujący może spowodować dzielenie przez zero.

Interpretator BPF w libpcap nie wykrywa ani osiągnięcia końca bufora programu filtrującego z powodu braku instrukcji return, ani wykonania instrukcji skoku z przesunięciem wskazującym poza bufor. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtrujący może spowodować, że interpretator spróbuje odczytać pamięć procesu systemu operacyjnego w obszarze 32 GiB wokół bufora na architekturach 64-bitowych i w całej przestrzeni adresowej na architekturach 32-bitowych.

Interpretator BPF w libpcap wywołuje funkcję abort(), jeśli napotka instrukcję BPF z nieprawidłowym kodem operacji. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtrujący może zakończyć proces systemu operacyjnego.

rpcapd może przydzielić do 65536 bajtów na każdą wiadomość RPCAP_MSG_UPDATEFILTER_REQ lub RPCAP_MSG_STARTCAP_REQ otrzymaną od klienta, ale nigdy nie zwalnia tej pamięci, więc wycieka pamięć nawet podczas normalnego użytkowania. Złośliwy klient może spowodować znacznie szybszy wyciek pamięci serwera.

Kod klienta rpcap, który przetwarza wiadomość RPCAP_MSG_PACKET otrzymaną od serwera, nieprawidłowo waliduje jej nagłówki. Złośliwy serwer może wysłać spreparowaną wiadomość i spowodować, że klient potraktuje do 20 bajtów pamięci procesu klienta poza końcem bufora jako część przechwyconego pakietu.

W instrukcjach BPF, które ładują/zapisują wartość z/do rejestru pamięci scratch, indeks rejestru jest 32-bitową liczbą całkowitą bez znaku i nie może przekraczać 15, ale interpreter BPF w libpcap nie sprawdza tej wartości. W szczególnych, rzadkich przypadkach użycia, spreparowany program filtru może spowodować, że interpreter będzie próbował czytać i zapisywać pamięć procesu systemu operacyjnego w obszarze 16 GiB zaczynając od bieżącej ramki stosu na architekturach 64-bitowych oraz w całej przestrzeni adresowej na architekturach 32-bitowych.

W pliku pcap-linux.c w libpcap 1.1.1 przed commit'em ea9432fabdf4b33cbc76d9437200e028f1c47c93, ustawienie snaplen może prowadzić do obcinania pakietów, co umożliwia zdalnym atakującym wysyłanie dowolnych danych bez wykrycia za pomocą spreparowanych pakietów.