Wireshark komanda jūlija sākumā izlaida versiju 4.6.7 un vecāko labojumu zaru 4.4.17. Abi laidieni aizver divpadsmit drošības ievainojamības, kas apzīmētas no wnpa-sec-2026-52 līdz wnpa-sec-2026-63. Vienpadsmit no tām liek programmai avarēt vai iestrēgt cilpā, kad tā apstrādā speciāli sagatavotu paketi vai tvēruma failu. Divpadsmitā ir nopietnāka.
Smagākā kļūda ar apzīmējumu wnpa-sec-2026-60 slēpjas BLF failu parserī. Parseris nolasa neinicializētu atmiņu, tāpēc bojāts fails var atklāt datus, kas tobrīd atrodas datora atmiņā. Pārējās kļūdas beidzas ar avāriju vai bezgalīgu ciklu, kas iesaldē analīzi.
BLF ir binārais žurnāla formāts, ko lieto automašīnu tīklu ierakstīšanai, piemēram, ar Vector CANoe rīkiem. Wireshark to atbalsta, lai inženieri varētu skatīties CAN kopnes datus. Tieši šajā parserī neinicializētās atmiņas nolasīšana ir bīstamāka par avāriju. Avārija programmu tikai apstādina. Atmiņas nolasīšana var izsniegt uzbrucējam gabalus no procesa atmiņas, kas tur nokļuvuši no citiem datiem.
Kā kļūda nonāk līdz lietotājam
Wireshark iegūst datus divos veidos. Pirmais ir tiešā tveršana no tīkla, kur programma parsē katru ienākošo paketi. Otrais ir jau saglabāta faila atvēršana. Abos gadījumos pietiek ar vienu bojātu ievadi, lai iedarbinātu kļūdu. Uzbrucējam nav vajadzīga piekļuve datoram. Pietiek panākt, ka upuris tver viņa sūtīto trafiku vai atver atsūtītu .pcapng failu.
Tipisks scenārijs izskatās šādi. Uzbrucējs zina, ka mērķa komanda tver trafiku vienā konkrētā tīkla segmentā. Viņš ievieto tur vienu paketi, kuras lauks pārsniedz gaidīto garumu. Kad disektors to sadala, tas noiet garām buferim. Programma avarē vai iesalst tieši tajā brīdī, kad analītiķim vajag datus. Ar failiem tas notiek vēl vieglāk, jo sabojātu tvērumu var atsūtīt pa e-pastu ar tekstu, ka tas satur pierādījumus incidentam.
Kuras daļas ir skartas
Ievainojamības skar daudzus protokolus. Skartie disektori un failu parseri:
- SSH disektors, apzīmējums wnpa-sec-2026-55
- TLS šifrētā Client Hello atšifrēšana, wnpa-sec-2026-56
- IEEE 802.11 bezvadu disektors, wnpa-sec-2026-57
- pcapng tvēruma failu parseris, wnpa-sec-2026-53
- Catapult DCT2000, Z39.50 un UMTS FP disektori
- DBS Etherwatch parseris un Ciscodump tveršanas rīks
Divi brīdinājumi skar šifrētu datu apstrādi. SSH disektorā (wnpa-sec-2026-55) kļūda parādās, kad Wireshark mēģina attēlot sesijas datus. TLS gadījumā (wnpa-sec-2026-56) problēma ir šifrētā Client Hello atšifrēšanas kodā, ko projektam pievienoja salīdzinoši nesen. Abos gadījumos pietiek ar bojātu ievadi, lai programma apstātos. Šī plūsma ir tieši tā, ko drošības komanda visbiežāk analizē, tāpēc kļūdas trāpa parastā darba vidū.
Vairums kļūdu ir disektoros. Disektors ir koda gabals, kas saprot vienu protokolu un sadala paketi laukos. Wireshark tādu ir simtiem. Katrs no tiem strādā ar datiem no tīkla, tāpēc tieši disektori ir vieta, kur bojāts ievads visbiežāk atrod kļūdu. Brīdinājums wnpa-sec-2026-61 apvieno vairākus disektorus, kuros bojāts ievads iedzen programmu bezgalīgā ciklā. Kopā ar drošības labojumiem laidiens novērš vēl deviņpadsmit parastas kļūdas, tostarp atmiņas noplūdes un bufera pārpildes.
Kāpēc tīkla analizators ir ērts mērķis
Wireshark ikdienā lieto cilvēki, kuru darbs ir izmeklēt aizdomīgu trafiku. Tieši viņi visdrīzāk atvērs failu no nezināma avota vai tvers uzbrucēja ģenerētas paketes. Uzbrucējam nav jāsūta ļaunatūra pa tiešo. Viņš gaida, kamēr aizsargs pats palaiž bojāto datu analīzi. Tas pats attiecas uz automātiskām sistēmām, kas fonā palaiž tshark pār ienākošo trafiku.
Wireshark ieteikums šādos gadījumos ir vienkāršs. Ja pastāv iespēja, ka datu plūsmā ir bojātas paketes, tās nevajag analizēt ar novecojušu versiju.
Ko darīt tagad
Wireshark vienlaikus uztur divus laidumu zarus. Kad parādās drošības labojumi, tie iznāk abos, tāpēc šoreiz nāca gan 4.6.7, gan 4.4.17. Instalēto versiju var pārbaudīt ar komandu wireshark --version vai tshark --version. Ja skaitlis ir zemāks par attiecīgā zara jauno versiju, sistēma ir ievainojama.
Labojums ir jaunināšana uz 4.6.7 vai uz 4.4.17, ja izmanto vecāko zaru. Lielākajā daļā Linux izplatījumu Wireshark nāk no pakotņu pārvaldnieka, tāpēc atjauninājums pienāk kopā ar sistēmas labojumiem. Windows un macOS versijas jālejupielādē no wireshark.org. Kas nevar jaunināt uzreiz, tam nevajadzētu atvērt tvēruma failus no neuzticamiem avotiem.
Uzbrukuma smagums lielākajā daļā gadījumu ir pakalpojuma atteikums. Programma avarē vai iesalst, bet koda izpildi uzbrucējs neiegūst. Tas neatceļ vajadzību jaunināt, jo analizatora avārija izmeklēšanas laikā nozīmē zaudētu darbu un iespēju, ka uzbrucējs paslēpj svarīgo paketi aiz vienas bojātās. Visi divpadsmit brīdinājumi ar tehniskajām detaļām ir publicēti Wireshark drošības lapā.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.