אם מנוצלים, פגמים אלה יכולים לאפשר לתוקפים לקבל גישה לא מורשית למידע רגיש או לגרום לבעיות בדרך כלל
הפגיעות האחרונה שהתגלתה על ידי חוקרי Qualys ב-Glibc (ספריית GNU C) היא מאפשר גישה לשורש במכשירים מבוססי לינוקס, היה מוצג בטעות באוגוסט 2022 עם שחרורו של גירסת glibc 2.37.
הפגיעות הרשומה תחת "CVE-2023-6246" וציון CVSS של 7.8, נובע מהצפת מאגר ומקורו בפונקציה "vsyslog_internal()» מ-glibc, המשמש את syslog() ו-vsyslog() למטרות רישום מערכת.
למי שלא מודע ל-Glibc, כדאי לדעת שמדובר בספריית יסוד לתוכניות הכתובות בשפת C, הפועלת כממשק סטנדרטי בין תוכניות למערכת ההפעלה עליה הן פועלות. פגם ההסלמה של הרשאות משפיע על פונקציות syslog ו-vsyslog פנימיות, שני מרכיבים מכריעים ברישום המערכת ב-Unix ובמערכות דומות, כולל מערכות מבוססות GNU/Linux.
"פגם זה מאפשר הסלמה מקומית של הרשאות, ומאפשר למשתמש חסר זכויות לקבל גישת שורש מלאה", אמר סעיד עבאסי, מנהל מוצר ביחידת מחקר האיומים של Qualys, והוסיף כי הוא משפיע על הפצות לינוקס גדולות כמו דביאן, אובונטו ופדורה.
שחקן איום יכול לנצל את הפגם כדי לקבל הרשאות מוגברות באמצעות ערכים בעלי מבנה מיוחד עבור יישומים המשתמשים בתכונות הרישום הללו. » למרות שהפגיעות מחייבת ניצול של תנאים ספציפיים (כגון ארגומנט argv[0] ארוך באופן חריג או openlog()), השפעתה משמעותית עקב השימוש הנרחב בספרייה המושפעת
Syslog הוא פרוטוקול ואפליקציה המשמשים לתיעוד יומני מערכת, בעוד vsyslog מציע יכולות רישום וירטואליות מתקדמות לניהול יומנים ספציפיים יותר בסביבות מורכבות. שניהם חיוניים למעקב ופתרון בעיות בעת הקלטת אירועים חשובים.
גודל הסיכון הוא שצפת חוצץ יכולה לאפשר לתוקף לקבל גישה מלאה למערכת כ-root, באמצעות קלט מעוצב הנשלח ליישומים המשתמשים בפונקציות רישום vsyslog ו-syslog.
במהלך בדיקות שביצעו החוקרים, אושר כי מספר הפצות לינוקס, כולל Debian 12 ו-13, Ubuntu 23.04 ו-23.10 ו-Fedora (גרסאות 37 עד 39 כולל), פגיעות. למרות שחלק מההפצות אומתו, סביר להניח שגם הפצות לינוקס אחרות מושפעות מפגיעות אבטחה זו.
קוואליס אמר שניתוח נוסף של glibc גילה שני פגמים נוספים בפונקציה vsyslog_internal() CVE-2023-6779 ו-CVE-2023-6780. הפגיעות השנייה, CVE-2023-6780, נמצאת בפונקציה glibc qsort(). פגיעות זו של שחיתות זיכרון נובעת מהיעדר בדיקת גבולות בעת שימוש ב-qsort() עם פונקציית השוואה לא טרנזיטיבית ומספר רב של אלמנטים הנשלטים על ידי תוקף. למרות שלא זוהו דוגמאות אמיתיות לתוכניות פגיעות, ההשפעה הפוטנציאלית שלהן היא משמעותית ומשפיעה על כל הגרסאות של glibc מאז ספטמבר 1992.
לגבי החלק של חשיפת הפגיעות, מוזכר שצוות Qualys פנה לצוות האבטחה של glibc בנוגע לליקויים ב-12 בדצמבר 2023, אך הצוות החליט לא לטפל בשחיתות הזיכרון ב-qsort() כאל פגיעות. ב-16 בינואר 2024, TRU תמך ב-b9390ba commit בכל מהדורות ה-glibc היציבות ותאריך השחרור המתואם נקבע ל-30 בינואר 2023.
הפגיעויות שזוהו בפונקציות syslog ו-qsort של glibc מדגישות היבט קריטי של אבטחת תוכנה: אפילו הרכיבים הבסיסיים והמהימנים ביותר אינם חסינים בפני כשלים.
חשוב לציין זאת רק גרסאות glibc 2.36 ו-2.37 פגיעות, והגירסאות האחרונות כבר כוללות את התיקון שפותר את הפגיעות הזו. לכן, חיוני לעדכן לגרסאות העדכניות ביותר כדי להגן על המערכות המושפעות. מומלץ לבדוק את הגרסה של ספריית glibc הקיימת במערכת באמצעות הפקודה הבאה:
ldd - גרסה
סוף סוף אם אתה מעוניין לדעת יותר על זה, אתה יכול לבדוק את הפרטים בקישור הבא.