Podatności glibc

W bibliotece glibc wykryto błąd przepełnienia bufora w stercie, związany z funkcją __vsyslog_internal. Problem występuje, gdy funkcje syslog i vsyslog są wywoływane z wiadomością większą niż INT_MAX bajtów, co prowadzi do błędnego obliczenia rozmiaru bufora i w efekcie do awarii aplikacji.

W bibliotece libresolv w glibc przed wersją 2.25 istnieje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez dereferencję wskaźnika NULL, co prowadzi do awarii procesu.

W bibliotece glibc występuje podatność, która pozwala na manipulację pamięcią stosu i sterty poprzez specjalnie skonstruowane wartości LD_LIBRARY_PATH, co może prowadzić do wykonania dowolnego kodu. Dotyczy to wersji glibc 2.25 i wcześniejszych.

Funkcja calloc w pakiecie glibc w Red Hat Enterprise Linux (RHEL) 6.7 i 7.2 nieprawidłowo inicjalizuje obszary pamięci, co może umożliwić atakującym zależnym od kontekstu spowodowanie odmowy usługi (zawieszenie lub awaria) za pomocą nieokreślonych wektorów.

W glibc przed wersją 2.19-18+deb8u4 na Debianie jessie oraz przed wersjami 2.15-0ubuntu10.14 na Ubuntu 12.04 LTS, 2.19-0ubuntu6.8 na Ubuntu 14.04 LTS, 2.21-0ubuntu4.2 na Ubuntu 15.10 i 2.23-0ubuntu1 na Ubuntu 16.04 LTS i 16.10 brakuje sprawdzenia przestrzeni nazw związanej z przekazywaniem deskryptorów plików. To pozwala lokalnym użytkownikom na przechwytywanie naciśnięć klawiszy i fałszowanie danych, co może prowadzić do uzyskania uprawnień.

W podatności CVE-2015-0235 występuje przepełnienie bufora w stercie w funkcji __nss_hostname_digits_dots w glibc w wersjach 2.2 oraz wcześniejszych 2.x przed 2.18. Umożliwia to atakującym wykonanie dowolnego kodu poprzez funkcje gethostbyname lub gethostbyname2.

Funkcja posix_spawn_file_actions_addopen w glibc przed wersją 2.20 nie kopiuje argumentu ścieżki zgodnie ze specyfikacją POSIX, co pozwala atakującym zależnym od kontekstu na wywołanie podatności use-after-free.

W glibc odkryto usterkę, która w rzadkich przypadkach może prowadzić do użycia zwolnionej pamięci przez funkcję gaih_inet, powodując awarię aplikacji. Problem występuje tylko podczas wywołania funkcji getaddrinfo, gdy baza hosts w /etc/nsswitch.conf jest skonfigurowana z SUCCESS=.

W bibliotece glibc przed wersją 2.31 wykryto podatność na zapis poza zakresem podczas obsługi trampolin sygnałów na architekturze PowerPC. Funkcja backtrace nie sprawdzała poprawnie granic tablicy przy przechowywaniu adresu ramki, co może prowadzić do odmowy usługi lub potencjalnego wykonania kodu.

W glibc 2.15 wprowadzono błąd w demonie nscd, który powoduje wywołanie dereferencji wskaźnika null, gdy odpowiedź o nieznalezieniu grupy sieciowej nie zostanie dodana do pamięci podręcznej. Prowadzi to do awarii nscd.

Przepełnienie bufora stosu w dynamicznym loaderze (ld.so) biblioteki GNU C (glibc) w wersjach od 2.14 do 2.44 pozwala lokalnemu atakującemu na awarię lub uszkodzenie pamięci programów setuid/setgid (AT_SECURE). Gdy DT_RPATH lub DT_RUNPATH takiego programu zaczyna się od $ORIGIN i jest następowane przez NUL lub '/', loader zarówno odczytuje poza bufor ścieżki, jak i zapisuje poza wewnętrzny bufor stosu. Uszkodzony stos loadera może prowadzić do awarii (odmowa usługi) i ograniczonego ujawnienia pamięci procesu.

W dynamicznym loaderze (ld.so) biblioteki GNU C Library (glibc) w wersjach od 2.14 do 2.44 występuje warunek wyścigu typu time-of-check to time-of-use (TOCTOU), który pozwala lokalnemu atakującemu na podniesienie uprawnień. Podczas rozwijania $ORIGIN w DT_RPATH dla programów setuid/setgid (AT_SECURE) glibc waliduje znormalizowaną leksykalnie ścieżkę wyszukiwania względem zaufanych katalogów, ale następnie otwiera surową, nieznormalizowaną ścieżkę. W systemach, w których wyłączono sysctl fs.protected_hardlinks, lokalny atakujący, który utworzy twarde dowiązanie do takiego programu w kontrolowanym przez siebie katalogu i wygra wyścig, zastępując pośredni komponent ścieżki dowiązaniem symbolicznym, może skierować loader poza zaufany katalog, powodując załadowanie kontrolowanej przez atakującego biblioteki współdzielonej i wykonanie dowolnego kodu z podniesionymi uprawnieniami programu.

Podatność w funkcji parse_tilde w bibliotece (prawdopodobnie glibc) podczas rozwijania ścieżek zaczynających się od tyldy (~) i nazwy użytkownika. Funkcja alokuje pamięć na stosie za pomocą makra strndupa, a rozmiar alokacji jest określany na podstawie długości danych wejściowych bez żadnych kontroli granic. Przekazanie bardzo długiej nazwy użytkownika (tysiące znaków) może doprowadzić do wyczerpania pamięci stosu wątku, co może być wykorzystane do ataku typu stack clash.

W glibc odkryto usterkę polegającą na użyciu zwolnionej pamięci w funkcji getaddrinfo. W bardzo rzadkiej sytuacji, gdy moduł NSS implementuje tylko określone haki, a zapytanie spełnia specyficzne warunki, może dojść do awarii aplikacji.

glibc2 nie czyści poprawnie zmiennych środowiskowych LD_DEBUG_OUTPUT i LD_DEBUG, gdy program jest uruchamiany z programu setuid, co może pozwolić lokalnym użytkownikom na nadpisanie plików poprzez atak z użyciem dowiązań symbolicznych.

Resolver w glibc 2.1.3 używa przewidywalnych identyfikatorów, co pozwala lokalnemu atakującemu na fałszowanie wyników zapytań DNS.