CVE-2022-24903

Zusammenfassung

Rsyslog ist ein blitzschnelles System zur Protokollverarbeitung. Module für den TCP-Syslog-Empfang weisen einen potenziellen Heap-Pufferüberlauf auf, wenn die oktettzählende Rahmung (octet-counted framing) verwendet wird. Dies kann zu einem Segfault oder einer anderen Fehlfunktion führen. Nach unserem Verständnis kann diese Schwachstelle nicht für Remote-Codeausführung genutzt werden. Es könnte jedoch immer noch eine geringe Chance für Experten bestehen, dies zu tun. Der Fehler tritt auf, wenn die Oktettanzahl gelesen wird. Obwohl es eine Prüfung für die maximale Anzahl von Oktetten gibt, werden Ziffern in einen Heap-Puffer geschrieben, selbst wenn die Oktettanzahl über dem Maximum liegt. Dies kann genutzt werden, um den Speicherpuffer zu überlaufen. Sobald die Ziffernfolge jedoch endet, können keine weiteren Zeichen zum Puffer hinzugefügt werden. Unserer Meinung nach macht dies Remote-Exploits unmöglich oder zumindest äußerst komplex. Die oktettzählende Rahmung ist einer von zwei möglichen Rahmungsmodi. Sie ist relativ ungewöhnlich, aber auf Empfängern standardmäßig aktiviert. Die Module `imtcp`, `imptcp`, `imgssapi` und `imhttp` werden für den regulären Syslog-Nachrichtenempfang verwendet. Es ist bewährte Praxis, sie nicht direkt öffentlich zugänglich zu machen. Wenn diese Praxis befolgt wird, ist das Risiko erheblich geringer. Das Modul `imdiag` ist ein Diagnosemodul, das hauptsächlich für Testbench-Läufe gedacht ist. Wir erwarten nicht, dass es auf einer Produktionsinstallation vorhanden ist. Die oktettzählende Rahmung ist nicht sehr verbreitet. Normalerweise muss sie auf Senderseite speziell aktiviert werden. Wenn Benutzer sie nicht benötigen, können sie sie für die wichtigsten Module deaktivieren. Dies wird die Schwachstelle entschärfen.

• CVE-2022-24903-Heap-based-buffer-overflow-Hand-On-LabPoC