越快越好 Linux用户需要赶紧补上glibc漏洞

只需点击一个链接或是连接到服务器,便可导致远程代码执行。攻击者可盗取口令、监视用户,甚至控制计算机。更甚者,任何与网络相连的软件,如果使用glibc的话,都有危险。

Linux_kernel_System_Call_Interface_and_glibc.svg
Glibc(GNU C Library)是大多数Linux中的关键组件,漏洞(CVE-2015-7547)存在于glibc的DNS解析器中,是一个基于堆栈的缓冲区溢出漏洞。一台恶意DNS服务器可以返回给查询者超量的信息,利用这个漏洞用代码淹没程序内存,从而危害该程序,或者是掌握整个系统。

攻击方法

攻击者首先建立一个恶意的DNS服务器,然后发送带有此域名的恶意链接,受害者一旦点击这个链接,其使用的客户端或浏览器就会发送这个域名的查询请求,最终从这个恶意DNS服务器得到一个缓冲区溢出的响应。

这个域名还能够插入到服务器日志文件中,当解析这个域名时将触发远程代码执行,即便是SSH加密的客户端也无法避免。同样,在网络中使用中间人攻击的手段,即可篡改DNS响应,注入恶意代码的载荷。

有各种各样的漏洞利用方法,影响自2009年5月以来发行的glibc2.9版以后所有的版本。

漏洞原理

发现这个漏洞的谷歌研究人员解释,glibc通过alloca()函数在堆栈中保有2048字节,这个函数响应DNS查询请求的函数_nss_dns_gethostbyname4_r() ,然后是send_dg()和send_vc()两个函数。如果响应大于2048字节,就会从堆分配一个新的缓冲区并更新所有的信息,包括缓冲区指针、新的的缓冲区大小和响应包大小。在某些情况下,造成堆栈缓冲之间的不匹配,并会分配新的堆。最后的结果就是,堆栈缓冲将被用于存储DNS响应,即使响应包大小超过了堆栈缓冲,以及分配了堆缓冲。该行为导致堆栈缓冲的溢出。

关键问题存在于resolv/res_send.c中,并在使用getaddrinfo()函数调用时触发。当启动sudo、curl或其他工具时,均可触发此漏洞利用。

 

影响程度

凡是使用glibc的Linux用户均受此漏洞影响,幸运的是许多嵌入式Linux设备逃过此劫,因为诸如家用路由器等设备使用的是轻量级的uclibc库。

实际上,该漏洞早去年7月就已经被发现,但当时这个编程上的问题被严重低估。当谷歌安全人员撞到这个漏洞时,他们发现红帽的两位研究人员也正在分析这个问题,但由于问题的严重性,两人并未公布相关信息,只是在私下的进行研究。最终谷歌、红帽双方合力开发了补丁更新。

补救措施

实现远程代码执行,攻击者必需绕过操作系统的安全机制,如ASLR(地址空间布局随机化)、非可执行堆栈保护等。防火墙也可以过滤一些可疑的DNS响应。

因此,安全运维人员可以限制所有TCP协议的DNS响应包大小在1024字节之内,并丢弃超过512字节的UDP协议DNS包。

最后,补丁已出,赶紧更新!

https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html

POC:
https://github.com/fjserna/CVE-2015-7547


0 评

忘记密码