CVE-2023-42464

Type Confusion w Netatalk afpd — możliwe RCE przez Spotlight RPC

CVSS 9.8v3.1pub. 2023-09-20upd. 2024-11-21

W demonie afpd wchodzącym w skład Netatalk 3.1.x przed wersją 3.1.17 wykryto podatność typu Type Confusion w funkcjach Spotlight RPC. Brak weryfikacji typów pozwala atakującemu zdalnie przejąć kontrolę nad wskaźnikiem i potencjalnie wykonać dowolny kod na serwerze.

▸ Pokaż oryginał (EN)

A Type Confusion vulnerability was found in the Spotlight RPC functions in afpd in Netatalk 3.1.x before 3.1.17. When parsing Spotlight RPC packets, one encoded data structure is a key-value style dictionary where the keys are character strings, and the values can be any of the supported types in the underlying protocol. Due to a lack of type checking in callers of the dalloc_value_for_key() function, which returns the object associated with a key, a malicious actor may be able to fully control the value of the pointer and theoretically achieve Remote Code Execution on the host. This issue is similar to CVE-2023-34967.

🤖 Analiza AI

Jak działa

Podczas przetwarzania pakietów Spotlight RPC, protokół obsługuje słowniki klucz-wartość, gdzie wartości mogą być różnych typów. Funkcja dalloc_value_for_key() zwraca obiekt powiązany z danym kluczem, jednak jej wywołania nie sprawdzają zgodności typów zwracanej wartości. Atakujący może przesłać spreparowany pakiet RPC, w którym wartość słownikowa jest błędnie interpretowana jako inny typ niż oczekiwany, co prowadzi do pełnej kontroli nad wartością wskaźnika (CWE-843). Taki scenariusz umożliwia teoretyczne osiągnięcie Remote Code Execution na podatnym hoście bez uwierzytelnienia.

Skutki

Zdalny, nieuwierzytelniony napastnik może uzyskać pełną kontrolę nad serwerem poprzez wykonanie dowolnego kodu (RCE), co zagraża poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Netatalk do wersji 3.1.17 lub nowszej. Użytkownicy Debian Linux powinni zastosować patche dostępne w ramach debian-lts-announce zgodnie z referencjami producenta.