कुछ दिनों पहले खबर आई थी कि सी मानक पुस्तकालयों में uClibc और uClibc-ng, कई एम्बेडेड और पोर्टेबल उपकरणों में उपयोग किया जाता है, एक भेद्यता की पहचान की गई है (सीवीई के साथ अभी तक असाइन नहीं किया गया है), जो डीएनएस कैश में डमी डेटा के प्रतिस्थापन की अनुमति देता है, जिसका उपयोग कैश में एक मनमाना डोमेन के आईपी पते को धोखा देने के लिए किया जा सकता है और डोमेन को हमलावर के सर्वर पर अनुरोधों को पुनर्निर्देशित किया जा सकता है।
समस्या के बारे में यह उल्लेख किया गया है कि यह राउटर, एक्सेस पॉइंट और IoT उपकरणों के लिए विभिन्न Linux फर्मवेयर को प्रभावित करता है, साथ ही एम्बेडेड लिनक्स वितरण जैसे OpenWRT और एंबेडेड जेंटू।
भेद्यता के बारे में
भेद्यता प्रश्न भेजने के लिए कोड में अनुमानित लेनदेन पहचानकर्ताओं के उपयोग के कारण है डीएनएस का। DNS क्वेरी आईडी को पोर्ट नंबरों के और रैंडमाइजेशन के बिना काउंटर को केवल बढ़ाकर चुना गया था, जो DNS कैश को जहर देना संभव बना दिया फर्जी प्रतिक्रियाओं के साथ यूडीपी पैकेटों को पहले से भेजकर (प्रतिक्रिया स्वीकार की जाएगी यदि यह वास्तविक सर्वर से प्रतिक्रिया से पहले आती है और इसमें सही पहचान शामिल है)।
2008 में प्रस्तावित कमिंसकी पद्धति के विपरीत, लेन-देन आईडी का अनुमान लगाना भी आवश्यक नहीं है, क्योंकि यह शुरू में अनुमानित है (शुरू में, यह 1 पर सेट है, जो प्रत्येक अनुरोध के साथ बढ़ता है, और बेतरतीब ढंग से नहीं चुना जाता है)।
अपने आप को बचाने के लिए आईडी अनुमान लगाने के खिलाफ, विनिर्देश आगे नेटवर्क पोर्ट नंबरों के यादृच्छिक वितरण के उपयोग की अनुशंसा करता है जिस मूल से DNS क्वेरीज़ भेजी जाती हैं, जो आईडी के अपर्याप्त आकार की भरपाई करती है।
जब पोर्ट रैंडमाइजेशन सक्षम किया जाता है, तो डमी प्रतिक्रिया बनाने के लिए, 16-बिट पहचानकर्ता का चयन करने के अलावा, नेटवर्क पोर्ट नंबर का चयन करना भी आवश्यक है। uClibc और uClibc-ng में, इस तरह के यादृच्छिकरण को स्पष्ट रूप से सक्षम नहीं किया गया था (जब बाइंड को कॉल किया गया था, एक यादृच्छिक स्रोत UDP पोर्ट निर्दिष्ट नहीं किया गया था) और इसका कार्यान्वयन ऑपरेटिंग सिस्टम कॉन्फ़िगरेशन पर निर्भर था।
जब पोर्ट रैंडमाइजेशन अक्षम होता है, यह निर्धारित करना कि वृद्धि के लिए कौन सी अनुरोध आईडी को एक तुच्छ कार्य के रूप में चिह्नित किया गया है. लेकिन रैंडमाइजेशन के मामले में भी, हमलावर को केवल 32768-60999 की सीमा से नेटवर्क पोर्ट का अनुमान लगाने की आवश्यकता होती है, जिसके लिए वह विभिन्न नेटवर्क पोर्ट पर डमी प्रतिक्रियाओं के बड़े पैमाने पर एक साथ भेजने का उपयोग कर सकता है।
समस्या uClibc और uClibc-ng . के सभी मौजूदा संस्करणों में पुष्टि की गई है, जिसमें uClibc 0.9.33.2 और uClibc-ng 1.0.40 के नवीनतम संस्करण शामिल हैं।
"यह ध्यान रखना महत्वपूर्ण है कि एक मानक सी पुस्तकालय को प्रभावित करने वाली भेद्यता काफी जटिल हो सकती है," टीम ने इस सप्ताह एक ब्लॉग पोस्ट में लिखा था।
"न केवल एक कार्यक्रम में कई बिंदुओं पर कमजोर फ़ंक्शन के लिए सैकड़ों या हजारों कॉल होंगे, लेकिन भेद्यता उस पुस्तकालय का उपयोग करने के लिए कॉन्फ़िगर किए गए अन्य बहु-विक्रेता कार्यक्रमों की अनिश्चित संख्या को प्रभावित करेगी।"
सितंबर 2021 में, भेद्यता के बारे में जानकारी भेजी गई थी समन्वित सरणी तैयार करने के लिए सीईआरटी/सीसी को। जनवरी 2022 में, समस्या को 200 से अधिक निर्माताओं के साथ साझा किया गया था सीईआरटी/सीसी से संबद्ध।
मार्च में, uClibc-ng प्रोजेक्ट के अनुरक्षक से अलग से संपर्क करने का प्रयास किया गया था, लेकिन उसने उत्तर दिया कि वह स्वयं भेद्यता को ठीक नहीं कर सका और समस्या के बारे में जानकारी के सार्वजनिक प्रकटीकरण की सिफारिश की, इस उम्मीद में कि उसे ठीक करने में मदद मिलेगी। समुदाय। निर्माताओं से, NETGEAR ने भेद्यता को हटाने के साथ एक अद्यतन जारी करने की घोषणा की।
यह ध्यान रखना महत्वपूर्ण है कि एक मानक सी पुस्तकालय को प्रभावित करने वाली भेद्यता काफी जटिल हो सकती है। न केवल एक कार्यक्रम में कई बिंदुओं पर कमजोर फ़ंक्शन के लिए सैकड़ों या हजारों कॉल होंगे, बल्कि भेद्यता उस पुस्तकालय का उपयोग करने के लिए कॉन्फ़िगर किए गए कई विक्रेताओं से अन्य कार्यक्रमों की अनिश्चित संख्या को प्रभावित करेगी।
यह ध्यान दिया जाता है कि भेद्यता कई निर्माताओं के उपकरणों में प्रकट होती है (उदाहरण के लिए, लिंकिस, नेटगियर और एक्सिस से फर्मवेयर में uClibc का उपयोग किया जाता है), लेकिन चूंकि भेद्यता uClibc और uClibc-ng में अप्रकाशित रहती है, उपकरणों और विशिष्ट के बारे में विस्तृत जानकारी निर्माता जिनके उत्पादों में कोई समस्या है, जब तक उनका खुलासा नहीं किया जाता है।
अंत में यदि आप इसके बारे में अधिक जानने में रुचि रखते हैं, आप विवरण की जांच कर सकते हैं निम्नलिखित लिंक में