CVE-2020-8597

Błąd należy do klasy buffer overflow (CWE-120) i dotyczy niewystarczającej walidacji długości danych kopiowanych do bufora rhostname podczas przetwarzania pakietów EAP (Extensible Authentication Protocol). Atakujący może wysłać specjalnie spreparowany pakiet EAP, który spowoduje przepełnienie bufora w funkcjach eap_request lub eap_response. Przepełnienie odbywa się przez sieć, bez konieczności posiadania poświadczeń ani interakcji ofiary.

Skuteczne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie dowolnego kodu (RCE) z uprawnieniami procesu pppd, a także doprowadzić do naruszenia poufności, integralności i dostępności systemu.

Należy zaktualizować pakiet ppp do wersji niezawierającej podatności. Poprawki zostały opublikowane m.in. przez Red Hat (errata RHSA-2020:0630) oraz openSUSE. Użytkownicy systemów Debian i urządzeń Wago powinni zastosować patche dostępne u producenta zgodnie z referencjami. Jeśli aktualizacja nie jest możliwa, należy rozważyć ograniczenie dostępu sieciowego do usługi pppd przez firewall.

Oprogramowanie ppp (pppd) w wersjach 2.4.2 do 2.4.8 (włącznie), a także urządzenia Wago PFC100 i PFC200 z firmware opartym na podatnych wersjach pppd oraz systemy Debian Linux zawierające podatny pakiet ppp.

Publiczne exploity dla tej podatności zostały opublikowane w serwisie Packet Storm Security (packetstormsecurity.com), co potwierdza dostępność działającego kodu exploitującego podatność.