CVE-2022-24903

Резюме

Rsyslog — это сверхбыстрая система для обработки журналов. В модулях приёма syslog по TCP существует потенциальное переполнение буфера в куче при использовании фрейминга с подсчётом октетов. Это может привести к segfault или иному сбою. Насколько нам известно, данная уязвимость не может быть использована для удалённого выполнения кода. Но всё же может оставаться небольшая вероятность того, что эксперты смогут это сделать. Ошибка возникает при чтении счётчика октетов. Хотя существует проверка максимального числа октетов, цифры записываются в буфер в куче даже тогда, когда счётчик октетов превышает максимум. Это можно использовать для переполнения буфера памяти. Однако после завершения последовательности цифр в буфер нельзя добавить дополнительные символы. По нашему мнению, это делает удалённые эксплойты невозможными или, по крайней мере, крайне сложными. Фрейминг с подсчётом октетов — один из двух возможных режимов фрейминга. Он относительно редко встречается, но включён по умолчанию на приёмниках. Модули `imtcp`, `imptcp`, `imgssapi` и `imhttp` используются для обычного приёма сообщений syslog. Рекомендуется не подвергать их прямому публичному доступу. При соблюдении этой практики риск значительно ниже. Модуль `imdiag` — это диагностический модуль, предназначенный в первую очередь для тестовых прогонов. Мы не ожидаем его наличия в каких-либо производственных установках. Фрейминг с подсчётом октетов не очень распространён. Обычно его необходимо специально включать на стороне отправителей. Если пользователям он не нужен, они могут отключить его для наиболее важных модулей. Это позволит снизить уязвимость.

• CVE-2022-24903-Heap-based-buffer-overflow-Hand-On-LabPoC

  CVE-2022-24903 Переполнение буфера в куче