Podatności radare2

W wersji 6.1.5 radare2 występuje podatność typu use-after-free w funkcji gdbr_pids_list(), która może być wykorzystana przez zdalnych atakujących do wywołania odmowy usługi lub potencjalnego wykonania dowolnego kodu poprzez wysyłanie nieprawidłowych odpowiedzi z informacjami o wątkach.

W wersji 6.1.5 radare2 występuje podatność typu use-after-free w funkcji gdbr_threads_list(). Umożliwia to zdalnym atakującym wywołanie uszkodzenia pamięci poprzez wysłanie poprawnej odpowiedzi qfThreadInfo, a następnie źle sformatowanej odpowiedzi qsThreadInfo.

W radare2 przed wersją 6.1.4 występuje podatność na wstrzykiwanie poleceń w funkcji print_gvars() parsera PDB, która pozwala atakującym na wykonywanie dowolnych poleceń poprzez osadzenie bajtu nowej linii w nazwie nagłówka sekcji PE. Atakujący mogą stworzyć złośliwy plik PDB z odpowiednio skonstruowanymi nazwami sekcji, aby wstrzyknąć polecenia r2, które są wykonywane podczas przetwarzania pliku przez polecenie idp.

W radare2 w wersji 2.0.1 występuje wyjątek całkowity (ujemna liczba prowadząca do nieprawidłowego dostępu do pamięci) w funkcji store_versioninfo_gnu_verdef() w pliku elf.c, który może być wywołany przez spreparowane pliki ELF podczas analizy wersji ELF na systemach 32-bitowych.

W radare2 w wersji 2.0.1 występuje wyjątek całkowity (ujemna liczba prowadząca do nieprawidłowego dostępu do pamięci) w funkcji store_versioninfo_gnu_verneed() w pliku elf.c, co może być wykorzystane przez spreparowane pliki ELF na systemach 32-bitowych.

Funkcja store_versioninfo_gnu_verdef w radare2 2.0.0 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez złośliwie skonstruowany plik ELF, co prowadzi do błędnego zapisu r_read_le16 i awarii aplikacji.

Funkcja wasm_dis w radare2 w wersji 2.0.0 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez nadmierne odczytywanie bufora na stosie, co prowadzi do awarii aplikacji. Atak może być przeprowadzony za pomocą spreparowanego pliku WASM, który wywołuje niepoprawne wywołanie r_hex_bin2str.

Funkcja grub_memmove w radare2 1.5.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi (przepełnienie bufora na stercie i awaria aplikacji) poprzez spreparowany plik binarny.

Funkcja grub_memmove w radare2 1.5.0 umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez złośliwy plik binarny, co może prowadzić do awarii aplikacji z powodu błędu w buforze.

Funkcja dalvik_disassemble w radare2 w wersji 1.2.1 umożliwia zdalnym atakującym spowodowanie odmowy usługi (przepełnienie bufora na stosie i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ poprzez spreparowany plik DEX.

Funkcja relocs w libr/bin/p/bin_bflt.c w radare2 w wersji 1.2.1 pozwala zdalnym atakującym na spowodowanie odmowy usługi (przepełnienie bufora w stercie i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ poprzez spreparowany plik binarny.

Funkcja dex_parse_debug_item w libr/bin/p/bin_dex.c w radare2 w wersji 1.2.1 umożliwia zdalnym atakującym spowodowanie odmowy usługi (przepełnienie bufora i awaria aplikacji) lub potencjalnie inny nieokreślony wpływ poprzez spreparowany plik DEX.

W radare2 przed wersją 6.2.0 parser zrzutów awaryjnych Windows 64-bit (dmp64) był podatny, ponieważ używał kontrolowanej przez dane wejściowe wartości PageCount (liczba stron w obszarze pamięci fizycznej) bezpośrednio jako granicy pętli alokacji na stronę. Podatność jest wyzwalana przez otwarcie małego, spreparowanego pełnego zrzutu pamięci Windows. Parser wielokrotnie alokował i dołączał deskryptory stron bez walidacji liczby względem rozmiaru zrzutu, co może powodować odmowę usługi poprzez nadmierne zużycie pamięci i czasu przetwarzania.

W radare2 przed wersją 6.2.0 parser łańcuchów poprawek relokacji NE był podatny, ponieważ podążał za łańcuchami poprawek bez aktywnego limitu iteracji lub wykrywania cykli. Podatność jest wyzwalana przez otwarcie spreparowanego pliku wykonywalnego NE, którego wpis relokacji w granicach wskazuje z powrotem na siebie zamiast osiągnąć 0xffff. Parser wielokrotnie przetwarzał tę samą relokację i alokował nowy obiekt relokacji w każdej iteracji, co może powodować odmowę usługi poprzez ciągłe zużycie CPU i pamięci.

radare2 przed wersją 6.2.0 zawiera podatność w parserze plików Mach-O (LC_DATA_IN_CODE), który ufa wartościom dataoff i datasize, co może prowadzić do odczytu poza buforem (heap out-of-bounds read) przy przetwarzaniu specjalnie spreparowanego pliku. Atak wymaga włączenia opcji bin.verbose. Może to spowodować zakończenie procesu, ale nie wykazano ujawnienia pamięci.

radare2 przed wersją 6.2.0 zawiera podatność w parserze bytecode Lua 5.3, który odczytuje pola metadanych bez sprawdzania długości bufora. Przy otwarciu spreparowanego pliku z łańcuchem nazwy funkcji kończącym się na granicy bufora, parser czyta poza przydzieloną pamięć, co może powodować błędne wyniki lub zakończenie procesu.

radare2 przed wersją 6.2.0 zawiera podatność w parserze Unicode plików binarnych property-list, która nie przydziela odpowiedniej ilości pamięci i nie gwarantuje zakończenia NUL. Uruchomienie komend pFB lub pFBj na nietworzonych danych może spowodować odczyt poza pamięcią, co prowadzi do ujawnienia niezainicjalizowanych lub sąsiednich danych w wyjściu JSON lub zakończenia procesu.

radare2 przed wersją 6.2.0 zawiera podatność w parserze metadanych Swift dla plików Mach-O, gdzie względny wskaźnik może być niższy niż baza sekcji, co prowadzi do ujemnego indeksu. Przy parsowaniu metadanych ze spreparowanego pliku, parser odczytuje cztery bajty przed buforem, co może powodować nieprawidłowe przetwarzanie lub zakończenie procesu.

W radare2 przed wersją 6.2.0 loader formatu Apple Preferred Executable Format (PEF) był podatny, ponieważ akceptował wartości relocSecCount nieograniczone przez liczbę sekcji lub kompletnych rekordów relokacji w danych wejściowych. Podatność jest wyzwalana przez normalne automatyczne wykrywanie formatu binarnego małego spreparowanego pliku Apple PEF. Loader mógł wykonać do 268 435 456 iteracji sekcji relokacji i powtarzanych operacji na buforze po przesunięciu offsetów rekordów poza koniec pliku, co może powodować odmowę usługi poprzez nadmierne zużycie CPU i przedłużone przetwarzanie.

W radare2 przed wersją 6.2.0 obsługa ELF PN_XNUM była podatna, ponieważ parser ELF alokował tablicę nagłówków programu przy użyciu rozwiązanej wartości PN_XNUM, ale kilka konsumentów nadal iterowało z oryginalną wartością e_phnum równą 65535. Podatność jest wyzwalana przez przetwarzanie spreparowanego pliku ELF z e_phnum = 0xffff i znacznie mniejszą rozwiązaną liczbą w shdr[0].sh_info. Konsumenci iterowali poza zaalokowaną tablicą nagłówków programu, co może powodować odczyt poza granicami sterty i zakończenie procesu, prowadząc do odmowy usługi; ujawnienie pamięci i wykonanie kodu nie zostały wykazane.

W radare2 przed wersją 6.2.0 parser marshal bajtkodu CPython .pyc był podatny, ponieważ czytniki marshal CPython akceptowały 32-bitową długość łańcucha bez odrzucania wartości przepełniających alokację rozmiar-plus-jeden. Podatność jest wyzwalana przez otwarcie lub inspekcję spreparowanego pliku .pyc za pomocą r2 lub rabin2. Długość 0xffffffff powodowała zawinięcie alokacji do zera, zanim wspólny czytnik bajtów zapisał kontrolowane przez atakującego dane i bajty wypełniające poza alokacją sterty, co może powodować uszkodzenie pamięci sterty i odmowę usługi; wykonanie dowolnego kodu jest możliwe, ale nie zostało wykazane.

W bibliotece radare2 do wersji 6.1.6 wykryto podatność w parserze strumienia Memory64ListStream w pliku mdmp.c. Lokalny atakujący może wywołać przepełnienie bufora na stosie poprzez manipulację danymi wejściowymi. Exploit jest publicznie dostępny.

W bibliotece radare2 do wersji 6.1.6 wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w funkcji r_core_bin_load w pliku libr/core/cfile.c. Atak wymaga lokalnego dostępu, a exploit został już opublikowany.

W bibliotece radare2 do wersji 6.1.6 wykryto podatność polegającą na przepełnieniu liczb całkowitych w funkcji cmd_print w komponencie pb Print Command Handler. Atak wymaga lokalnego dostępu i może zostać przeprowadzony przy użyciu publicznie dostępnego exploita.

W bibliotece radare2 do wersji 6.1.6 odkryto podatność w funkcji r_str_word_get0set pliku libr/util/str.c. Manipulacja danymi prowadzi do przepełnienia liczby całkowitej. Atak wymaga dostępu lokalnego i istnieje publiczny exploit.

W bibliotece radare2 do wersji 6.1.6 wykryto podatność polegającą na przepełnieniu liczby całkowitej w funkcjach r_str_ndup i r_str_append w pliku libr/util/str.c. Atak wymaga dostępu lokalnego i został już publicznie ujawniony.

W radare2 do wersji 6.1.6 wykryto podatność w funkcji r_core_seek_arch_bits w pliku libr/core/disasm.c, w komponencie obsługi regprofile. Manipulacja może prowadzić do użycia po zwolnieniu (use-after-free).

W radare2 do wersji 6.1.6 wykryto podatność w funkcji r_bin_java_inner_classes_attr_calc_size pliku shlr/java/class.c, należącej do komponentu RBinJava Line Number Table Parser. Manipulacja danymi prowadzi do przepełnienia bufora sterty. Atak wymaga dostępu lokalnego, a exploit został opublikowany.

W radare2 do wersji 6.1.6 wykryto podatność w funkcji cmd_anal_opcode pliku libr/core/cmd_anal.inc.c w komponencie hexpairs Parser. Manipulacja danymi prowadzi do przepełnienia liczby całkowitej. Atak wymaga dostępu lokalnego, a exploit jest publicznie dostępny.

W radare2 do wersji 6.1.6 wykryto podatność w funkcji core_anal_bytes pliku libr/core/cmd_anal.inc, która prowadzi do przepełnienia liczb całkowitych. Atak wymaga dostępu lokalnego i został już upubliczniony.

W narzędziu radare2 przed commitem bc5a890 wykryto podatność na wstrzykiwanie poleceń w ścieżce poleceń afsv/afsvj. Złośliwe pliki ELF mogą zawierać osadzone sekwencje poleceń r2 jako nazwy parametrów DWARF DW_TAG_formal_parameter, które są wykonywane podczas analizy pliku za pomocą polecenia aaa i uruchomienia afsvj, co umożliwia wykonanie dowolnych poleceń powłoki przez niesanitowaną interpolację parametrów w ciągu polecenia pfq.