Podatności GNU C Library

Funkcja iconv() w bibliotece GNU C w wersjach 2.39 i starszych może przepełnić bufor wyjściowy o maksymalnie 4 bajty podczas konwersji ciągów do zestawu znaków ISO-2022-CN-EXT. Może to prowadzić do awarii aplikacji lub nadpisania sąsiedniej zmiennej.

W GNU C Library w wersjach 2.13 do 2.40, funkcja assert() przy błędzie nie alokuje wystarczającej ilości miejsca na komunikat o błędzie asercji i informacje o rozmiarze, co może prowadzić do przepełnienia bufora, jeśli rozmiar komunikatu jest wyrównany do rozmiaru strony.

W GNU C Library w wersjach 2.27 do 2.38, podatność na nieufną zmienną środowiskową LD_LIBRARY_PATH pozwala na ładowanie dynamicznie współdzielonych bibliotek kontrolowanych przez atakującego w statycznie skompilowanych binariach setuid, które wywołują dlopen (w tym wewnętrzne wywołania dlopen po setlocale lub wywołania funkcji NSS).

Podatność w bibliotece GNU C Library (glibc) w wersjach od 2.7 do 2.43. Wywołanie funkcji z rodziny scanf z formatem %mc (dopasowanie znaku z alokacją pamięci) i jawną szerokością większą niż 1024 może prowadzić do przepełnienia sterty o jeden bajt.

Inicjalizacja resolvera DNS z pliku /etc/resolv.conf lub zmiennej środowiskowej LOCALDOMAIN, gdy lista wyszukiwania zawiera domenę o długości około 200 znaków lub więcej, w GNU C Library w wersjach 2.26 do 2.44 powoduje błąd asercji, który przerywa proces. Resolver obcina listę wyszukiwania przy kopiowaniu do bufora o stałym rozmiarze _res.defdname, ale kontrola spójności porównuje z niewłaściwym rozmiarem i nie obsługuje pierwszego wpisu, który się nie mieści, co prowadzi do niepowodzenia asercji.

Konwersja spreparowanego wejścia EUC_JISX0213 do UCS-4 lub wewnętrznego kodowania szerokich znaków, na przykład za pomocą iconv, w GNU C Library w wersjach od 2.3 do 2.44 może spowodować, że konwerter nie robi postępów, powodując zawieszenie aplikacji wywołującej. Niektóre sekwencje EUC_JISX0213 dekodują się do dwóch punktów kodowych; jeśli bufor wyjściowy ma miejsce tylko na pierwszy z nich, konwerter zapisuje drugi w stanie konwersji i zwraca E2BIG, ale nigdy nie czyści tego oczekującego znaku po jego wyemitowaniu w następnym wywołaniu. Konwerter następnie stale emituje oczekujący znak bez zużywania dalszego wejścia, więc aplikacja ponawiająca konwersję zapętla się w nieskończoność. Wejście musi być kontrolowane przez atakującego, a aplikacja musi konwertować je z buforem wyjściowym wystarczająco małym, by rozdzielić dwa punkty kodowe. Dotyczy tylko zestawu znaków EUC_JISX0213, który nie jest powszechnie używany.

Konwersja spreparowanego wejścia SHIFT_JISX0213 do UCS-4 lub wewnętrznego kodowania szerokich znaków, na przykład za pomocą iconv, w GNU C Library w wersjach od 2.3 do 2.44 może spowodować, że konwerter nie robi postępów, powodując zawieszenie aplikacji wywołującej. Niektóre sekwencje SHIFT_JISX0213 dekodują się do dwóch punktów kodowych; jeśli bufor wyjściowy ma miejsce tylko na pierwszy z nich, konwerter zapisuje drugi w stanie konwersji i zwraca E2BIG, ale nigdy nie czyści tego oczekującego znaku po jego wyemitowaniu w następnym wywołaniu. Konwerter następnie stale emituje oczekujący znak bez zużywania dalszego wejścia, więc aplikacja ponawiająca konwersję zapętla się w nieskończoność. Wejście musi być kontrolowane przez atakującego, a aplikacja musi konwertować je z buforem wyjściowym wystarczająco małym, by rozdzielić dwa punkty kodowe. Dotyczy tylko zestawu znaków SHIFT_JISX0213, który nie jest powszechnie używany.

W GNU C Library w wersjach od 2.1 do 2.44 wywołanie tdelete na wystarczająco głębokim drzewie może zapisać jeden wskaźnik poza końcem tablicy alokowanej przez alloca na stosie, co może spowodować awarię aplikacji. Implementacja tdelete utrzymuje jawny stos węzłów nadrzędnych do rebalansowania, który jest powiększany w razie potrzeby podczas schodzenia w drzewie; dwie gałęzie rebalansowania dodają wpis bez sprawdzenia pojemności.

W GNU C Library w wersjach od 2.38 do 2.44 wywołanie strfmon lub strfmon_l może zapisać dane poza końcem bufora wyjściowego dostarczonego przez wywołującego, gdy konwersja używa wyrównania do prawej z dopełnianiem szerokości. Wykorzystanie wymaga ścieżki kodu aplikacji wywołującej te funkcje z takim dopełnianiem do bufora wystarczająco dużego dla dopełnienia, ale zbyt małego dla wewnętrznego wywołania memmove. W momencie publikacji nie są znane żadne skutki dla aplikacji dostępnych sieciowo.

Usługa nscd w GNU C Library od wersji 2.3.4 może ulec awarii z powodu przepełnienia stosu, gdy złośliwy serwer DNS zwróci zbyt dużą odpowiedź na zapytanie DNS, co prowadzi do pogorszenia rozwiązywania nazw w systemie. Wykorzystanie wymaga włączonego nscd i korzystania z niezaufanego serwera DNS. Istnieje również niewielka możliwość uszkodzenia pamięci podręcznej nscd.

Przekazanie praktycznie pustego ciągu znaków do rozszerzenia składni `,ccs=` w argumencie trybu funkcji `fopen` w GNU C Library w wersji 2.45 lub wcześniejszej może skutkować przepełnieniem bufora na stercie, gdy ciąg trybu wejściowego jest kontrolowany przez atakującego. Ten wzorzec użycia nie występuje w typowych aplikacjach w dystrybucjach GNU/Linux, a aplikacje przetwarzające wartości dostarczone przez użytkownika dla `ccs` nie powinny przekazywać ich bez walidacji.

Wywołanie funkcji wordexp z flagą WRDE_APPEND w GNU C Library od wersji 2.0 do 2.43 może spowodować zwrócenie nieprawidłowej pamięci w elemencie we_wordv, co przy kolejnych wywołaniach wordfree może przerwać proces.

W bibliotece GNU C Library (glibc) w wersjach od 2.0.1 do 2.43 wykryto podatność w przestarzałych funkcjach ns_printrrf, ns_printrr i fp_nquery. Funkcje te nie walidują poprawności danych RDATA względem długości RDATA w odpowiedziach DNS dla rekordów A6, CERT, LOC, TKEY lub TSIG, co może umożliwić atakującemu spreparowanie odpowiedzi DNS powodującej awarię aplikacji lub odczyt niezainicjalizowanej pamięci.

W bibliotece GNU C Library (glibc) w wersji 2.2 i nowszych, przestarzałe funkcje ns_printrrf, ns_printrr oraz fp_nquery nie sprawdzają długości bufora dostarczonego przez wywołującego, co może prowadzić do zapisu poza zakresem podczas wypisywania rekordów TSIG.

W bibliotece GNU C Library w wersji 2.43 i wcześniejszych, funkcja ungetwc może odczytywać dane przed przydzielonym buforem, gdy strumień FILE zawiera znaki wielobajtowe w zestawie znaków, w którym nakładają się reprezentacje jednobajtowe i wielobajtowe. Błąd w implementacji pushbacku (_IO_wdefault_pbackfail) powoduje, że ungetwc() operuje na zwykłym buforze znaków zamiast na wskaźniku odczytu strumienia szerokiego, co może prowadzić do ujawnienia sąsiednich danych w stercie lub awarii programu.

Funkcja iconv() w GNU C Library w wersjach 2.43 i wcześniejszych może ulec awarii z powodu błędu asercji podczas konwersji danych wejściowych ze stron kodowych IBM1390 lub IBM1399. Podatność ta może być zdalnie wykorzystana do przerwania działania aplikacji.

Podatność w bibliotece GNU C Library (glibc) w wersjach od 2.34 do 2.43 powoduje, że wywołanie funkcji gethostbyaddr lub gethostbyaddr_r z odpowiednio skonfigurowanym plikiem nsswitch.conf (wskazującym na backend DNS) może zwrócić nieprawidłową nazwę hosta DNS, naruszając specyfikację DNS.

Podatność w GNU C Library (glibc) w wersjach od 2.34 do 2.43 pozwala atakującemu na naruszenie specyfikacji DNS poprzez spreparowaną odpowiedź serwera DNS. Wywołanie funkcji gethostbyaddr lub gethostbyaddr_r z odpowiednią konfiguracją nsswitch.conf może spowodować, że aplikacja potraktuje nieodpowiednią sekcję odpowiedzi DNS jako prawidłową odpowiedź.

W bibliotece GNU C Library w wersji 2.36 na systemach x86_64, wywołanie funkcji korzystających z pamięci podręcznej nscd może prowadzić do awarii. Problem wynika z optymalizacji memcmp, która przy współbieżnej modyfikacji danych przez inne wątki może powodować crash klienta nscd i aplikacji go używającej.