Se
ha corregido una
vulnerabilidad de desbordamiento de pila que afecta al servidor X11. El
fallo permitiría a un atacante local
elevar privilegios a root a través de un archivo de fuentes de usuario.
X11 es un servidor gráfico,
desarrollador por el MIT a mediado de los años 80, que provee de interfaz
gráfica a los sistemas UNIX. La arquitectura cliente-servidor permite utilizar
un solo servidor X11 sobre múltiples clientes.
Se da la curiosa circunstancia de
que el fallo encontrado estaba presente
desde el año 1991 y, presumiblemente, no ha sido conocido hasta ahora. El
error no ha sido encontrado tras una laboriosa investigación o revisión
concienzuda del código, el fallo fue detectado tras procesar el código fuente a
través de la herramienta de análisis estático "cppcheck".
"cppcheck" es una interesante herramienta, escrita en C++ y con
licencia GPL, que nos permite analizar el código fuente en lenguaje C y C++.
Tras el procesamiento del código fuente se nos indica una lista de errores y
advertencias que podría contener el código del programa. Entre los errores que
detecta se hallan los típicos desbordamientos de búfer, pérdidas de memoria o
doble liberación de memoria entre otros.
El fallo que afecta al servidor
X11 se encuentra en la librería libXfont, librería usada para dibujar
tipografías, concretamente en el archivo "lib/libXfont/src/bitmap/bdfread.c". Tal y como se puede deducir
de la propia advertencia de cppcheck:
[lib/libXfont/src/bitmap/bdfread.c:341]:
(warning)
scanf without field width limits can crash
with huge input data.
Se emplea un uso inadecuado de la
función "sscanf" de la
librería estándar de C. En concreto y como podemos ver en el parche aplicado por
los desarrolladores, no se está limitando el tamaño de la cadena a leer desde "line" a "charName". Esto terminaría desbordando el tamaño de la
variable en la pila que como podemos ver es una variable automática cuyo
tipo es un array de 100 char.
diff --git a/src/bitmap/bdfread.c b/src/bitmap/bdfread.c
index e2770dc..e11c5d2 100644
--- a/src/bitmap/bdfread.c
+++ b/src/bitmap/bdfread.c
@@ -338,7 +338,7 @@ bdfReadCharacters(FontFilePtr file, FontPtr pFont, bdfFileState *pState,
char
charName[100];
int
ignore;
- if (sscanf((char *) line, "STARTCHAR %s", charName) != 1) {
+ if (sscanf((char *) line, "STARTCHAR %99s", charName) != 1) {
bdfError("bad character name in BDF file\n");
goto BAILOUT; /* bottom of function, free and return error */
}
La solución ha sido simplemente
limitar el tamaño de lectura a 99 dejando una unidad para la terminación '\0' de cadena.
Esta función se usa cuando se
están procesando archivos BDF (Glyph Binary Distribution Format), un formato de
archivo para almacenar mapas de bits de fuentes propiedad de Adobe. Dichos
archivos pueden ser manipulados por un atacante para incluir nombres de
carácter arbitrariamente largos que permitan sobrescribir el búfer reservado. Si se consigue explotar es posible elevar
privilegios y ejecutar código arbitrario con permisos de root.
Más información:
X.Org Security Advisory: CVE-2013-6462: Stack
buffer overflow in parsing of BDF font files in libXfont
CVE-2013-6462: unlimited sscanf overflows stack
buffer in bdfReadCharacters()
David García
Twitter: @dgn1729
No hay comentarios:
Publicar un comentario