Μια σειρά από ελαττώματα ασφαλείας στο Libarchive, ένα open source toolkit συμπίεσης, επηρεάζει αμέτρητα άλλα πρότζεκτς στα οποία αυτή η βιβλιοθήκη είχε συμπεριληφθεί, όπως τα Debian Linux, FreeBSD και διάφορα βοηθητικά προγράμματα συμπίεσης αρχείων.
Η βιβλιοθήκη δημιουργήθηκε το 2004 ειδικά για το FreeBSD project, αλλά τα ισχυρά χαρακτηριστικά του σύντομα έπεσαν στην αντίληψη πολλών άλλων προγραμματιστών, οι οποίοι τη μετέφεραν και σε άλλα λειτουργικά συστήματα και τη συμπεριέλαβαν στο λογισμικό τους.
Οι προγραμματιστές αγαπούν το γεγονός ότι το Libarchive μπορεί να επιτρέψει πρόσβαση σε πραγματικό χρόνο σε πολλές συμπιεσμένες μορφές αρχείων, όπως τα tar, 7z, zip, cpio, pax, rar, cab και πολλά άλλα.
Σε ένα blog post που δημοσιεύθηκε προχθές, η Talos ομάδα της Cisco ανακοίνωσε ότι θα συνεργαστεί με την Libarchive ομάδα για να επιδιορθώσει μια σειρά από θέματα ασφαλείας στη βιβλιοθήκη.
Τα θέματα αυτά ξεχωρίζουν από διάφορα σφάλματα ασφάλειας που επιδιορθώνονται σε προϊόντα λογισμικού σε καθημερινή βάση, γιατί έμμεσα επηρεάζουν και αμέτρητα άλλα πρότζεκτς, λόγω της ευρείας “έκτασης” της εν λόγω βιβλιοθήκης.
Το exploit αυτών των ζητημάτων είναι κάπως ασήμαντο αν ξέρετε πού βρίσκονται, δεδομένου ότι απαιτείται μόνο από έναν εισβολέα να δημιουργήσει ένα κακόβουλο ZIP αρχείο.
Όταν το Libarchive ή το λογισμικό στο οποίο είχε συμπεριληφθεί η βιβλιοθήκη, διαβάζει το κακόβουλο αρχείο, ο εισβολέας μπορεί να εκτελέσει κακόβουλο κώδικα στο σύστημα του χρήστη.
Φανταστείτε ότι χρησιμοποιείτε ένα antivirus ή έναν διαχειριστή πακέτων που περιλαμβάνει το Libarchive στον κώδικα του για να χειριστεί την ανάγνωση αρχειοθετημένων αρχείων σε πραγματικό χρόνο. Δεδομένου ότι όλα τα προϊόντα antivirus αποσυμπιέζουν αρχειοθετημένα αρχεία για να κοιτάξουν για την ύπαρξη κακόβουλου λογισμικού και δεδομένου ότι ο ρόλος του διαχειριστή πακέτων είναι να κατεβάζει, να αποσυμπιέζει και να εγκαθιστά το λογισμικό στον υπολογιστή σας, η δουλειά του εισβολέα περιορίζεται μόνο στο να φτιάξει το κακόβουλο αρχείο και να βρει έναν τρόπο να το παραδώσει στον υπολογιστή σας.
Οι ερευνητές της Cisco είπαν ότι βρήκαν ένα ζήτημα integer overflow στο πώς το Libarchive χειρίζεται τα 7-Zip αρχεία (CVE-2016-4300), μια buffer υπερχείλιση στο πώς χειρίζεται τα Mtree αρχεία (CVE-2016 – 4301) και ένα heap overflow στο πώς η βιβλιοθήκη χειρίζεται τα RAR αρχεία (CVE-2016-4302). Όπως μπορείτε να δείτε, όλα αυτά είναι επικίνδυνα ελαττώματα ασφαλείας που μπορεί να οδηγήσουν σε απομακρυσμένη εκτέλεση κώδικα στον υπολογιστή του χρήστη.
«Το να γράψει κανείς ασφαλή κώδικα μπορεί να είναι δύσκολο», εξηγεί η ομάδα της Cisco. «Η βασική αιτία αυτών των libarchive ευπαθειών είναι η αποτυχία στο να επικυρώνονται σωστά τα δεδομένα εισόδου –τα δεδομένα που διαβάζονται από ένα συμπιεσμένο αρχείο. Δυστυχώς, αυτά τα είδη των λαθών στον προγραμματισμό συμβαίνουν ξανά και ξανά.»
Η Cisco αναφέρει ότι όλα τα ζητήματα τώρα έχουν διορθωθεί, αλλά όπως μπορείτε να φανταστείτε, αυτό μπορεί να πάρει κάποιο χρόνο μέχρις ότου οι προγραμματιστές να ενημερώσουν όλες τις εφαρμογές όπου το Libarchive αναπτύχθηκε με την τελευταία έκδοση της βιβλιοθήκης (V3.2.1).
Κατά την έναρξη του Μαΐου, η ομάδα Talos της Cisco βοήθησε το 7-Zip project να διορθώσει μια σειρά από σοβαρές ευπάθειες στο λογισμικό της. Το 7-Zip είναι παρόμοιο με το Libarchive, που περιλαμβάνεται και σε πολλά άλλα προϊόντα λογισμικού.
