CVE-2021-42377

BusyBox hush: niekontrolowane zwolnienie wskaźnika prowadzące do RCE/DoS

CVSS 9.8v3.1pub. 2021-11-15upd. 2024-11-21

Podatność w aplecie hush powłoki BusyBox pozwala atakującemu na wywołanie nieprawidłowego zwolnienia pamięci poprzez spreparowany ciąg znaków '&&&'. Może to prowadzić do odmowy usługi (DoS) lub wykonania dowolnego kodu (RCE) w pewnych warunkach.

▸ Pokaż oryginał (EN)

An attacker-controlled pointer free in Busybox's hush applet leads to denial of service and possible code execution when processing a crafted shell command, due to the shell mishandling the &&& string. This may be used for remote code execution under rare conditions of filtered command input.

🤖 Analiza AI

Jak działa

Powłoka hush w BusyBox niepoprawnie obsługuje ciąg znaków '&&&', co skutkuje zwolnieniem wskaźnika kontrolowanego przez atakującego (attacker-controlled pointer free). Błąd wynika z nieprawidłowego zarządzania pamięcią w trakcie przetwarzania spreparowanego polecenia powłoki. Zdalne wykonanie kodu jest możliwe w specyficznych scenariuszach, gdzie dane wejściowe użytkownika są filtrowane i przekazywane do powłoki hush.

Skutki

Atakujący może doprowadzić do odmowy usługi (DoS) lub — w rzadkich warunkach z filtrowanymi danymi wejściowymi — do wykonania dowolnego kodu (RCE) na podatnym systemie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Użytkownicy Fedory powinni zastosować aktualizacje opublikowane na listach Fedora package-announce. Użytkownicy NetApp Cloud Backup powinni zapoznać się z poradnikiem bezpieczeństwa NTAP-20211223-0002.

Kogo dotyczy

BusyBox (wersje wskazane w referencjach producenta), Fedora (dwie gałęzie dystrybucji wskazane w referencjach), NetApp Cloud Backup

Uwagi

Podatność została odkryta i ujawniona przez zespoły badawcze Claroty Team82 oraz JFrog w ramach szerszego projektu analizy BusyBox, w którym zidentyfikowano łącznie 14 podatności.