desmondsanctity/cve-2022-44311Lesen außerhalb der Grenzen in html2xhtml : CVE-2022-44311
Html2xhtml v1.3 wurde festgestellt, dass es einen Out-of-Bounds-Lesevorgang in der Funktion static void elm_close(tree_node_t *nodo) in procesador.c enthält. Diese Schwachstelle ermöglicht es Angreifern, auf sensible Dateien zuzugreifen oder einen Denial-of-Service-Angriff (DoS) über eine präparierte HTML-Datei auszulösen.
CWE-125 Out-of-Bounds-Read ist eine Art von Softwarefehler, der beim Lesen von Daten aus dem Speicher auftreten kann. Dies kann zum Beispiel passieren, wenn das Programm versucht, über das Ende eines Arrays hinaus zu lesen. Lesen außerhalb der Grenzen kann zu Abstürzen oder anderen unerwarteten Schwachstellen führen und könnte einem Angreifer ermöglichen, vertrauliche Informationen zu lesen, auf die er keinen Zugriff haben sollte.
html2xhtml/src/procesador.c (GHSA-28fm-qh2h-3mch)Html2xhtml ist ein Befehlszeilenwerkzeug, das HTML-Dateien in XHTML-Dateien konvertiert. Html2xhtml kann die XHTML-Ausgabe erzeugen, die einem der folgenden Dokumenttypen entspricht: XHTML 1.0 (Transitional, Strict und Frameset), XHTML 1.1, XHTML Basic und XHTML Mobile Profile.
Die Schwachstelle wurde aufgrund eines Segmentierungsfehlers (Segfault) entdeckt, der bei Verwendung der Option -t frameset auftrat. Ein Segmentierungsfehler oder Segfault ist eine bestimmte Art von Fehler, der durch den Zugriff auf Speicher verursacht wird, der nicht zu einem gehört. Es ist ein Hilfsmechanismus, der verhindert, dass man den Speicher beschädigt und schwer zu debuggende Speicherfehler einführt.
Mit Hilfe von Valgrind, einem Werkzeug zum Auffinden von Speicherzugriffsfehlern auf den Heap-Speicher (Speicher, der mit new oder malloc dynamisch allokiert wird) in C- und C++-Programmen, wurde der Segfault-Fehler debuggt und meldete ein invalid read of size 4 im Testfall:
==1040381== Memcheck, a memory error detector
==1040381== Copyright (C) 2002-2017, and GNU GPL'd, by Julian Seward et al.
==1040381== Using Valgrind-3.18.1 and LibVEX; rerun with -h for copyright info
==1040381== Command: ./src/html2xhtml -t frameset report/vuln/id:000000,sig:11,src:001386+001369,time:12081510,execs:2336913,op:splice,rep:16
==1040381==
==1040381== Invalid read of size 4
==1040381== at 0x40E911: elm_close (procesador.c:944)
==1040381== by 0x410617: err_html_struct (procesador.c:1889)
==1040381== by 0x40F20A: err_content_invalid (procesador.c:0)
==1040381== by 0x40F20A: elm_close (procesador.c:959)
==1040381== by 0x40E7C4: saxEndDocument (procesador.c:233)
==1040381== by 0x40DF7A: main (html2xhtml.c:117)
==1040381== Address 0x6f20d4 is not stack'd, malloc'd or (recently) free'd
==1040381==
==1040381==
==1040381== Process terminating with default action of signal 11 (SIGSEGV)
==1040381== Access not within mapped region at address 0x6F20D4
==1040381== at 0x40E911: elm_close (procesador.c:944)
==1040381== by 0x410617: err_html_struct (procesador.c:1889)
==1040381== by 0x40F20A: err_content_invalid (procesador.c:0)
==1040381== by 0x40F20A: elm_close (procesador.c:959)
==1040381== by 0x40E7C4: saxEndDocument (procesador.c:233)
==1040381== by 0x40DF7A: main (html2xhtml.c:117)
==1040381== If you believe this happened as a result of a stack
==1040381== overflow in your program's main thread (unlikely but
==1040381== possible), you can try to increase the size of the
==1040381== main thread stack using the --main-stacksize= flag.
==1040381== The main thread stack size used in this run was 8388608.
==1040381==
==1040381== HEAP SUMMARY:
==1040381== in use at exit: 88,190 bytes in 13 blocks
==1040381== total heap usage: 22 allocs, 9 frees, 2,218,413 bytes allocated
==1040381==
==1040381== LEAK SUMMARY:
==1040381== definitely lost: 0 bytes in 0 blocks
==1040381== indirectly lost: 0 bytes in 0 blocks
==1040381== possibly lost: 0 bytes in 0 blocks
==1040381== still reachable: 88,190 bytes in 13 blocks
==1040381== suppressed: 0 bytes in 0 blocks
==1040381== Rerun with --leak-check=full to see details of leaked memory
==1040381==
==1040381== For lists of detected and suppressed errors, rerun with: -s
==1040381== ERROR SUMMARY: 1 errors from 1 contexts (suppressed: 0 from 0)
==1040419== Memcheck, a memory error detector
Das Fehlerprotokoll von Valgrind führte uns zu der folgenden Funktion, in der der Segfault auftrat:
Es wurde festgestellt, dass in der Funktion eine fehlende Typprüfung vorliegt. Der Benutzer übergab der Funktion einen Knoten vom Typ comment anstelle von element, was zu einem Out-of-Bounds-Lesefehler führt. Ein Benutzer könnte ein fehlerhaftes Dokument mit einem ungültigen ELM_PTR(nodo).contenttype[doctype] bereitstellen, was zu folgendem Vergleich im Assemblercode führt:
cmp dword ptr [rbp + rax*4 + 0xc], 4
Diese Schwachstelle kann von Angreifern ausgenutzt werden, um mit einer manipulierten Datei sensible Dateien, Speicherbereiche oder Speicherorte zu lesen.
| Schweregrad | Hoch 8.1 / 10 |
|---|
| Angriffskomplexität | Niedrig |
| Erforderliche Privilegien | Keine |
| Benutzerinteraktion | Erforderlich |
| Scope | Unverändert |
| Vertraulichkeit | Hoch |
| Integrität | Keine |
| Verfügbarkeit | Hoch |