WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Nhiều lỗ hổng trong thư viện Libarchive đã được vá
Các nhà phát triển của Libarchive đã phát hành một phiên bản mới của thư viện mã nguồn mở này để xử lý một loạt lỗ hổng an ninh nghiêm trọng.
Libarchive là một thư viện lập trình được dùng để tạo ra và đọc các định dạng lưu trữ trực tuyến. Thư viện này được phát triển bởi FreeBSD và hiện được dùng trong nhiều sản phẩm phần mềm, bao gồm các package manager, công cụ lưu trữ và trình duyệt tập tin.
Các nhà nghiên cứu tại Cisco Talos đã phát hiện thư viện Libarchive có ba lỗ hổng nghiêm trọng. Một trong số đó, CVE-2016-4300, là lỗi tràn số nguyên cho phép kẻ tấn công dùng các file 7-Zip tự chế để thực thi mã bất kỳ. Những kẻ tấn công có thể khai thác lỗ hổng bằng cách khiến mục tiêu xử lý một file 7-Zip chứa mã độc thông qua Libarchive.
Các lỗ hổng khác, CVE-2016-4301 và CVE-2016-4302, là stack-based buffer overflow (lỗi tràn bộ đệm trên stack) và heap corruption (cấu trúc bộ nhớ heap bị hỏng) mà cả hai có thể dẫn đến việc thực thi mã bất kỳ thông qua các tập tin tự chế.
Nguyên nhân gốc rễ của những lỗ hổng libarchive trên là do không thực hiện được việc kiểm tra dữ liệu nhập được đọc từ một file nén. “Khi các lỗ hổng được tìm ra trong một phần của phần mềm như libarchive, mà nhiều chương trình của bên thứ ba sử dụng, một loạt libarchive sẽ bị ảnh hưởng theo. Hiện tượng này được gọi là “lỗi đồng thời” (common mode failures), cho phép kẻ tấn công sử dụng một phương thức tấn công nhắm vào nhiều hệ thống/chương trình khác nhau”, theo các nhà nghiên cứu tại Cisco.
Những lỗ hổng đã được xử lý bằng việc phát hành Libarchive 3.2.1, đồng thời vá một lỗi tràn số nguyên có thể bị khai thác thông qua các file ISO bị thay đổi. Lỗi này được nhà nghiên cứu Hanno Bock phát hiện bằng việc sử dụng American Fuzzy Lop (AFL) fuzzer do Michał Zalewski của Google phát triển.
Tháng trước, CERT/CC đã cảnh báo việc Libarchive bị heap-based buffer overflow (lỗi tràn bộ đệm trên heap) cho phép kẻ tấn công thực thi mã bất kỳ mà trong bối cảnh này người dùng bị nhắm tới qua file Zip chứa mã độc. Lỗi này được xác định là CVE-2016-1541, do Rock Stevens và Andrew Ruef báo cáo, và được độc lập phát hiện bởi Marcin Noga của Cisco. CVE-2016-1541 đã được vá vào ngày 1/5 bằng việc phát hành Libarchive 3.2.0.
Nguồn: Securityweek
Libarchive là một thư viện lập trình được dùng để tạo ra và đọc các định dạng lưu trữ trực tuyến. Thư viện này được phát triển bởi FreeBSD và hiện được dùng trong nhiều sản phẩm phần mềm, bao gồm các package manager, công cụ lưu trữ và trình duyệt tập tin.
Các nhà nghiên cứu tại Cisco Talos đã phát hiện thư viện Libarchive có ba lỗ hổng nghiêm trọng. Một trong số đó, CVE-2016-4300, là lỗi tràn số nguyên cho phép kẻ tấn công dùng các file 7-Zip tự chế để thực thi mã bất kỳ. Những kẻ tấn công có thể khai thác lỗ hổng bằng cách khiến mục tiêu xử lý một file 7-Zip chứa mã độc thông qua Libarchive.
Các lỗ hổng khác, CVE-2016-4301 và CVE-2016-4302, là stack-based buffer overflow (lỗi tràn bộ đệm trên stack) và heap corruption (cấu trúc bộ nhớ heap bị hỏng) mà cả hai có thể dẫn đến việc thực thi mã bất kỳ thông qua các tập tin tự chế.
Nguyên nhân gốc rễ của những lỗ hổng libarchive trên là do không thực hiện được việc kiểm tra dữ liệu nhập được đọc từ một file nén. “Khi các lỗ hổng được tìm ra trong một phần của phần mềm như libarchive, mà nhiều chương trình của bên thứ ba sử dụng, một loạt libarchive sẽ bị ảnh hưởng theo. Hiện tượng này được gọi là “lỗi đồng thời” (common mode failures), cho phép kẻ tấn công sử dụng một phương thức tấn công nhắm vào nhiều hệ thống/chương trình khác nhau”, theo các nhà nghiên cứu tại Cisco.
Những lỗ hổng đã được xử lý bằng việc phát hành Libarchive 3.2.1, đồng thời vá một lỗi tràn số nguyên có thể bị khai thác thông qua các file ISO bị thay đổi. Lỗi này được nhà nghiên cứu Hanno Bock phát hiện bằng việc sử dụng American Fuzzy Lop (AFL) fuzzer do Michał Zalewski của Google phát triển.
Tháng trước, CERT/CC đã cảnh báo việc Libarchive bị heap-based buffer overflow (lỗi tràn bộ đệm trên heap) cho phép kẻ tấn công thực thi mã bất kỳ mà trong bối cảnh này người dùng bị nhắm tới qua file Zip chứa mã độc. Lỗi này được xác định là CVE-2016-1541, do Rock Stevens và Andrew Ruef báo cáo, và được độc lập phát hiện bởi Marcin Noga của Cisco. CVE-2016-1541 đã được vá vào ngày 1/5 bằng việc phát hành Libarchive 3.2.0.
Nguồn: Securityweek