CVE-2022-24903

Riepilogo

Rsyslog è un sistema estremamente veloce per l'elaborazione dei log. I moduli per la ricezione di syslog tramite TCP presentano una potenziale vulnerabilità di heap buffer overflow quando viene utilizzato il framing con conteggio degli ottetti. Questo può causare un segfault o altri malfunzionamenti. Secondo la nostra comprensione, questa vulnerabilità non può essere utilizzata per l'esecuzione remota di codice. Tuttavia, potrebbe esserci ancora una leggera possibilità per gli esperti di riuscirci. Il bug si verifica quando viene letto il conteggio degli ottetti. Sebbene esista un controllo sul numero massimo di ottetti, le cifre vengono scritte in un heap buffer anche quando il conteggio degli ottetti supera il massimo. Questo può essere sfruttato per superare i limiti del buffer di memoria. Tuttavia, una volta che la sequenza di cifre si interrompe, non è possibile aggiungere ulteriori caratteri al buffer. A nostro avviso, ciò rende gli exploit remoti impossibili o, quantomeno, estremamente complessi. Il framing con conteggio degli ottetti è una delle due modalità di framing possibili. È relativamente poco comune, ma è abilitato per impostazione predefinita sui ricevitori. I moduli `imtcp`, `imptcp`, `imgssapi` e `imhttp` vengono utilizzati per la ricezione regolare dei messaggi syslog. La buona pratica consiste nel non esporli direttamente al pubblico. Quando questa pratica viene seguita, il rischio è notevolmente inferiore. Il modulo `imdiag` è un modulo di diagnostica destinato principalmente all'esecuzione di testbench. Non prevediamo che sia presente in alcuna installazione di produzione. Il framing con conteggio degli ottetti non è molto comune. Di solito, deve essere specificamente abilitato sui mittenti. Se gli utenti non ne hanno bisogno, possono disattivarlo per i moduli più importanti. Questo mitigherà la vulnerabilità.

• CVE-2022-24903-Heap-based-buffer-overflow-Hand-On-LabPoC