CVE-2019-17041

Zusammenfassung

Eine Schwachstelle wurde in Rsyslog v8.1908.0 entdeckt. contrib/pmaixforwardedfrom/pmaixforwardedfrom.c weist einen Heap-Überlauf im Parser für AIX-Logmeldungen auf. Der Parser versucht, ein Trennzeichen der Logmeldung (in diesem Fall ein Leerzeichen oder einen Doppelpunkt) zu finden, berücksichtigt jedoch keine Zeichenketten, die diese Bedingung nicht erfüllen. Wenn die Zeichenkette nicht übereinstimmt, erreicht die Variable lenMsg den Wert Null und überspringt die Plausibilitätsprüfung, die ungültige Logmeldungen erkennt. Die Meldung wird dann als gültig betrachtet, und der Parser konsumiert das nicht vorhandene Doppelpunkt-Trennzeichen. Dabei dekrementiert er lenMsg, eine vorzeichenbehaftete Ganzzahl, deren Wert Null war und nun minus eins wird. Der nächste Schritt im Parser besteht darin, den Inhalt der Meldung nach links zu verschieben. Dazu ruft er memmove mit den richtigen Zeigern auf die Ziel- und Quellzeichenketten auf, aber lenMsg wird nun als ein riesiger Wert interpretiert, was einen Heap-Überlauf verursacht.

• CVE-2019-17041PoC

  Proof-of-Concept-Exploit für CVE-2019-17041, einen Pufferüberlauf im Parser von rsyslog, der Remote-Code-Ausführung demonstriert.