Podatności Dalli

Wartości oznaczone jako skompresowane były rozpakowywane bez limitu rozmiaru — element ~130 KB mógł rozwinąć się do 128 MB przy odczycie, niezależnie od ustawień compress i serializer klienta. Dodatkowo rozmiar podany w odpowiedzi był używany do odczytu lub buforowania danych bez należytych ograniczeń.

Parser odpowiedzi potokowych w bibliotece Dalli traktował każdą linię odpowiedzi bez treści (np. CLIENT_ERROR lub SERVER_ERROR) jako znacznik końca partii MN. Powodowało to zaprzestanie odczytu odpowiedzi danego serwera i pozostawienie ich w połączeniu, gdzie kolejne polecenia odczytywały je jako własne odpowiedzi.

Dalli buforowała bajty żądań w buforze zapisu IO Ruby'ego, a bloki quiet (multi) nie są opróżniane aż do ich zakończenia. Gdy proces wykonuje fork, dziecko dziedziczy bufor, a Ruby opróżnia go przy zamknięciu lub finalizacji gniazda, nawet jeśli dziecko nigdy nie używa Dalli — żądanie zostaje wysłane dwukrotnie.

Biblioteka Dalli (klient memcached dla Ruby) nie konwertuje niektórych argumentów liczbowych na liczby całkowite podczas budowania poleceń protokołu meta. Jeśli aplikacja przekazuje kontrolowany przez atakującego ciąg znaków, sekwencje CRLF trafiają do memcached jako dodatkowe polecenia w tym samym połączeniu.

Gdy klient ma skonfigurowany namespace, żądanie, które napotkało przejściowy błąd sieciowy (timeout lub zamknięcie połączenia przez memcached lub proxy), było ponawiane z namespace zastosowanym po raz drugi, przez co app:x stawało się app:app:x.

Opcja raw: true dla pojedynczego żądania była ignorowana przez niektóre metody odczytu, które nadal uruchamiały load skonfigurowanego serializera (domyślnie Marshal) na wartościach oznaczonych jako serializowane — dotyczy m.in. get_multi, get_multi_cas, get_multi_with_metadata, get_cas i get_with_metadata.

Tokeny p_token i l_token były sprawdzane tylko pod kątem CR, LF i NUL. Token zawierający spacje pozwalał dodać dowolne flagi meta do polecenia — np. zmianę TTL elementu przy odczycie, tworzenie elementów zastępczych przy chybieniu, zamianę delete na stale tombstone czy wybór wartości początkowej incr.