【严重安全漏洞】Linux用户需要赶紧补上glibc漏洞

剑指工控星期四, 02/18/2016 - 12:08 发表

只需点击一个链接或是连接到服务器，便可导致远程代码执行。攻击者可盗取口令、监视用户，甚至控制计算机。更甚者，任何与网络相连的软件，如果使用glibc的话，都有危险。

Glibc(GNU C Library)是大多数Linux中的关键组件，漏洞(CVE-2015-7547)存在于glibc的DNS解析器中，是一个基于堆栈的缓冲区溢出漏洞。一台恶意DNS服务器可以返回给查询者超量的信息，利用这个漏洞用代码淹没程序内存，从而危害该程序，或者是掌握整个系统。

攻击方法

攻击者首先建立一个恶意的DNS服务器，然后发送带有此域名的恶意链接，受害者一旦点击这个链接，其使用的客户端或浏览器就会发送这个域名的查询请求，最终从这个恶意DNS服务器得到一个缓冲区溢出的响应。

这个域名还能够插入到服务器日志文件中，当解析这个域名时将触发远程代码执行，即便是SSH加密的客户端也无法避免。同样，在网络中使用中间人攻击的手段，即可篡改DNS响应，注入恶意代码的载荷。

有各种各样的漏洞利用方法，影响自2009年5月以来发行的glibc2.9版以后所有的版本。

漏洞原理

发现这个漏洞的谷歌研究人员解释，glibc通过alloca()函数在堆栈中保有2048字节，这个函数响应DNS查询请求的函数_nss_dns_gethostbyname4_r() ，然后是send_dg()和send_vc()两个函数。如果响应大于2048字节，就会从堆分配一个新的缓冲区并更新所有的信息，包括缓冲区指针、新的的缓冲区大小和响应包大小。在某些情况下，造成堆栈缓冲之间的不匹配，并会分配新的堆。最后的结果就是，堆栈缓冲将被用于存储DNS响应，即使响应包大小超过了堆栈缓冲，以及分配了堆缓冲。该行为导致堆栈缓冲的溢出。