CVE-2018-4012

Buffer overflow w Webroot BrightCloud SDK — RCE przez nagłówki HTTP

CVSS 9.0v3.0pub. 2019-01-03upd. 2024-11-21

Podatność typu buffer overflow w funkcji parsowania nagłówków HTTP biblioteki Webroot BrightCloud SDK umożliwia zdalne wykonanie kodu (RCE). Atakujący niewymagający uwierzytelnienia może wywołać podatność przez podszywanie się pod zdalny serwer BrightCloud.

▸ Pokaż oryginał (EN)

An exploitable buffer overflow vulnerability exists in the HTTP header-parsing function of the Webroot BrightCloud SDK. The function bc_http_read_header incorrectly handles overlong headers, leading to arbitrary code execution. An unauthenticated attacker could impersonate a remote BrightCloud server to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Funkcja bc_http_read_header nieprawidłowo obsługuje nadmiernie długie nagłówki HTTP, co prowadzi do przepełnienia bufora (buffer overflow, CWE-119). Atakujący może podszyć się pod zdalny serwer BrightCloud i przesłać spreparowaną odpowiedź HTTP zawierającą zbyt długi nagłówek. Błędna obsługa takiego nagłówka powoduje nadpisanie pamięci procesu, co otwiera drogę do wykonania dowolnego kodu.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) w kontekście procesu korzystającego z biblioteki BrightCloud SDK, co może prowadzić do pełnego przejęcia kontroli nad systemem.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się również ograniczenie komunikacji sieciowej komponentów korzystających z BrightCloud SDK wyłącznie do zaufanych, zweryfikowanych serwerów BrightCloud (np. przez kontrolę DNS i certyfikatów TLS), co utrudni scenariusz podszywania się pod serwer.

Kogo dotyczy

Produkty korzystające z Webroot BrightCloud SDK — szczegółowe wersje wskazane w referencjach producenta (raport Cisco Talos TALOS-2018-0683)

Uwagi

Podatność odkryta i zgłoszona przez Cisco Talos (raport TALOS-2018-0683). Scenariusz ataku wymaga przeprowadzenia ataku man-in-the-middle lub przejęcia nazwy DNS serwera BrightCloud, co podnosi złożoność ataku (CVSS AC:H).