The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Анализ безопасности пакета BusyBox выявил 14 несущественных уязвимостей

09.11.2021 18:21

Исследователи из компаний Claroty и JFrog опубликовали результаты аудита безопасности пакета BusyBox, широко используемого во встраиваемых устройствах и предлагающего набор стандартных утилит UNIX, оформленных в виде единого исполняемого файла. В ходе проверки выявлено 14 уязвимостей, которые уже устранены в августовском выпуске BusyBox 1.34. Почти все проблемы неопасны и сомнительны с точки зрения применения в реальных атаках, так как требуют запуска утилит с полученными извне аргументами.

Отдельно выделяется уязвимость CVE-2021-42374, которая позволяет вызвать отказ в обслуживании при обработке специально оформленного сжатого файла утилитой unlzma, а в случае сборки с опций CONFIG_FEATURE_SEAMLESS_LZMA, также любыми другими компонентами BusyBox, включая tar, unzip, rpm, dpkg, lzma и man.

Уязвимости CVE-2021-42373, CVE-2021-42375, CVE-2021-42376 и CVE-2021-42377 позволяют вызвать отказ в обслуживании, но требуют запуска утилит man, ash и hush с параметрами, заданными атакующим. Уязвимости с CVE-2021-42378 по CVE-2021-42386 затрагивают утилиту awk и потенциально могут привести к запуску кода, но для этого атакующему требуется добиться выполнения в awk определённого шаблона (необходимо запустить awk с передачей в первом аргументе командной строки данных, полученных от атакующего).

Дополнительно также можно отметить уязвимость (CVE-2021-43523) в библиотеках uclibc и uclibc-ng, связанную с тем, что при обращении к функциям gethostbyname(), getaddrinfo(), gethostbyaddr() и getnameinfo() не выполняется проверка и чистка доменного имени, возвращённого DNS-сервером. Например, в ответ на определённый запрос резолвинга подконтрольный злоумышленнику DNS-сервер может вернуть хосты вида "<script>alert('xss')</script>.attacker.com" и они будут в неизменном виде возвращены какой-то программе, которая без чистки может отобразить их в web-интерфейсе. Проблема устранена в выпуске uclibc-ng 1.0.39 через добавление кода для проверки корректности возвращаемых доменных имён, реализованном по аналогии с Glibc.

  1. Главная ссылка к новости (https://claroty.com/2021/11/09...)
  2. OpenNews: Релиз минималистичного набора системных утилит BusyBox 1.34
  3. OpenNews: Ещё одна уязвимость в Apache httpd, позволяющая обратиться за пределы корневого каталога сайта
  4. OpenNews: Раскрыта техника эксплуатации уязвимости в tty-подсистеме ядра Linux
  5. OpenNews: Локальная root-уязвимость в PHP-FPM
  6. OpenNews: Уязвимость в Mailman, позволяющая определить пароль администратора почтовой рассылки
Лицензия: CC-BY
Тип: Проблемы безопасности
Короткая ссылка: https://opennet.ru/56128-busybox
Ключевые слова: busybox, uclibc
Поддержать дальнейшую публикацию новостей на OpenNET.


Обсуждение (43) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.5, Аноним (5), 18:43, 09/11/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +19 +/
    Прочитал как 14 несуществующих уязвимостей и искал ссылку на pvs-studio, давненько рекламы не видно. Не окупается?
     
     
  • 2.7, Аноним (7), 18:53, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • –12 +/
    Для .NET — PVS-Studio лучший статический анализатор кода. Давайте будем объективны, он тоже нужен.
     
     
  • 3.17, QwertyReg (ok), 19:41, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • –14 +/
    Можно не моргая назвать пять альтернатив (даже свободных), которые это поделие уделывает в минуса. И у них нет мерзкого жиробубеля в качестве владельца.
     
     
  • 4.19, Здрасьте (?), 21:16, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Так давай. Какие?
     
     
  • 5.40, Аноним (40), 09:21, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    cppcheck, Clang Static Analyzer
     
  • 4.23, Аноним (23), 21:40, 09/11/2021 Скрыто модератором
  • +/
     
     
  • 5.27, QwertyReg (ok), 23:01, 09/11/2021 Скрыто модератором
  • –5 +/
     
     
  • 6.34, Какаянахренразница (ok), 03:32, 10/11/2021 Скрыто модератором
  • +6 +/
     
  • 4.24, Sw00p aka Jerom (?), 21:43, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    шо за личная неприязнь?
     
     
  • 5.29, Аноним (29), 23:42, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Отказался подать
     
  • 4.37, Аноним (37), 08:06, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Пятеро вокруг твоего дивана - это не альтернативы))
     
  • 2.16, InuYasha (??), 19:19, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    я тоже :_D
     
  • 2.21, Kuromi (ok), 21:31, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Ой да ладно вам, когда они чекают скажем код ФФ или иной опенсорс они обычно найденное разработчикам отправляют и те как правило принимают к сведению и фиксят. Это не симбиоз, конечно, но тоже не плохо.
     

  • 1.6, Нанобот (ok), 18:43, 09/11/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    >сомнительны с точки зрения применения в реальных атаках

    Зато пацаны теперь смогут написать в резюме, что обнаружили ряд уязвимостей CVE

     
     
  • 2.42, Аноним (42), 10:14, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Т.е. способны делать работу. Что - ок.
     
     
  • 3.45, Нанобот (ok), 11:23, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Т.е. способны делать работу. Что - ок.

    ну, в принципе согласен

     

  • 1.12, InuYasha (??), 19:11, 09/11/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Guys busy thinking inside-out of the box.
     
     
  • 2.13, Растоманя (ok), 19:12, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Не понял
     
     
  • 3.14, InuYasha (??), 19:18, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Игра слов. Есть такое выражение - "think outside the box" - типа, "домай не только в рамках общепринятого".
     
     
  • 4.39, n00by (ok), 09:07, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > Игра слов. Есть такое выражение - "think outside the box" - типа,
    > "домай не только в рамках общепринятого".

    Интересно, какой альтернативно одарённый так перевёл?

    Из словаря OxfordAmericanDictionary (En-En)
    think outside (of) the box
    think in an original or creative way

    Из словаря OxfordDictionary (En-En)
    think outside the box
    have ideas that are original, creative, or innovative

    Общепринято вести себя прилично.
    Оригинальная (когда-то) идея -- на яблоко действует сила тяжести.

     
     
  • 5.43, Аноним (42), 11:01, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    А смысл выражения как раз в возможности гибкости.

    P.S. Навеяло: лента Мёбиуса. Пересекающиеся паралельные прямые. У виска крутили пальцем, а в итоге согласились: паралельные прямые пересекаются... на шаре.

     
     
  • 6.46, n00by (ok), 11:41, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Статьи из толкового словаря -- носители языка для себя пишут. Какое слово Вы перевели как "гибкость"? creative? innovative? Гнуть можно в обе стороны, пока не сломается. Творить -- подразумевает создать что-то хорошее. Инновации -- новизна.
     
     
  • 7.50, Аноним (5), 15:29, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Создать хорошее? Ну-ну. Есть такое замечательное понятие как "нестандартно", так вот, это именно оно. И ничего более тут нет.
     
     
  • 8.51, n00by (ok), 15:39, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    А nonstandard как тогда переведёте Ну давайте, не стесняйтесь, расширяйте соз... текст свёрнут, показать
     
     
  • 9.52, Аноним (5), 15:53, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Калька вообще редко работает при переводе В английском языке это только несоотв... текст свёрнут, показать
     
     
  • 10.53, n00by (ok), 16:05, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Работает из коробки вполне прижилось в смысле всё включено , а значит ни о ч... текст свёрнут, показать
     
     
  • 11.54, Аноним (5), 16:19, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Звучит как-то неестественно, никогда его не встречал Более подходящее определен... текст свёрнут, показать
     
     
  • 12.55, n00by (ok), 17:23, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Из коробки не встречали https ru wiktionary org wiki из_коробки Про штепсе... текст свёрнут, показать
     
  • 5.56, Михрютка (ok), 18:46, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    >[оверквотинг удален]
    >> "домай не только в рамках общепринятого".
    > Интересно, какой альтернативно одарённый так перевёл?
    > Из словаря OxfordAmericanDictionary (En-En)
    > think outside (of) the box
    > think in an original or creative way
    > Из словаря OxfordDictionary (En-En)
    > think outside the box
    > have ideas that are original, creative, or innovative
    > Общепринято вести себя прилично.
    > Оригинальная (когда-то) идея -- на яблоко действует сила тяжести.

    товарищ, вы когда беретесь поговорить за английский, каждый раз такая фигня получается.

    словарь - не интеловский ISA мануал, а английский - не ассемблер.

    приемлемо он перевел, буквально, на троечку, но приемлемо.

     
     
  • 6.59, n00by (ok), 09:01, 11/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Когда употребляют "геморрой" в переносном значении выражения "головная боль" -- это тоже приемлемо. При этом очевидно, кто чем о насущных проблемах думает.
     
  • 2.35, Аноним (-), 04:30, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • +/
    сильно режет ухо, не звучит
     

  • 1.18, Аноним (-), 19:46, 09/11/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Я так понимаю это легковесный аналог coreutils?
     
     
  • 2.20, макпыф (ok), 21:29, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • +3 +/
    и не только.

    всякие grep sed awk и т.д.
    еще есть инит, аналог udev-а и куча всего. 2 шелла.

    поддерживает при сборке menuconfig (как ядро) потому лишнее можно отключить.

    впринципе - ядро + busybox уже будет работающей системой

     
     
  • 3.22, Аноним (22), 21:37, 09/11/2021 [^] [^^] [^^^] [ответить]  
  • +5 +/
    > ядро + busybox уже будет работающей системой

    Я так на апельсинках делаю, ибо штатные образы с системдой запускаются в разы медленнее.

     
     
  • 4.44, Аноним (42), 11:04, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    И как же это получается делать такие вещи, если несвязанное и разное оказывается в голове связано в одно. )))))))))))))))))
     

  • 1.28, кек (?), 23:21, 09/11/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    BusyBox как инит прекрасен.
     
     
  • 2.33, Самокатофил (?), 01:28, 10/11/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    sinit как инит прекрасен. А бизибокс это системд для встройки.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:
    При перепечатке указание ссылки на opennet.ru обязательно



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2021 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру