Zavod za sigurnost informacijskih sustava (ZSIS) upozorio je na kritičnu ranjivost u dinamičkom učitavaču GNU C biblioteke.
GNU C biblioteka (GLIBC) je stnardardna biblioteka GNU sustava. Projekt GNU C biblioteke pruža osnovne biblioteke za GNU sustav i GNU/Linux sustave, kao i mnoge druge sustave koji koriste Linux kao jezgru.
Iz ZSIS-a navode kako se radi o ranjivosti prelijevanja međuspremnika (engl. buffer overflow), identificirana kao CVE-2023-4911, od strane Qualys Research Labs u dinamičkom učitavaču GNU C biblioteke prilikom obrade GLIBC_TUNABLES varijable. Ova ranjivost može biti iskorištena za dobivanje potpunih administratorskih ovlasti, te utječe na nekoliko glavnih distribucija Linux-a. Preporučuje se žurno ažuriranje na najnovije dostupne verzije.
Tehnički detalji ključnih ranjivosti
Dinamički učitavač GNU C biblioteke se izvršava s povećanim ovlastima (engl. elevated privileges), a isti je odgovoran za pronalaženje i učitavanje zajedničkih biblioteka potrebnih za izvršavanje programa. Ranjivost CVE-2023-4911 posebno se odnosi na obradu GLIBC_TUNABLES varijable. Uvedena je u glibc 2.34 u travnju 2021. putem commit-a 2ed18c. Kada ld.so započne svoje izvršavanje, poziva __tunables_init() kako bi tražio GLIBC_TUNABLES varijable. Nakon što ih pronađe, kopira ih i nastavlja pročišćivati kopije. Međutim, zbog neispravnog postupanja, može se izazvati prelijevanje međuspremnika i navedeno iskoristiti za stjecanje potpunih administratorskih ovlasti.
Zahvaćeni proizvodi
Distribucije koje su uspješno iskorištene od strane Qualys Research Labs tima, prije ispravljenih verzija: Fedora 37 i 38, Ubuntu 22.04 i 23.04 i Debian 12 i 13. Druge distribucije također mogu biti ranjive, osim Alpine Linux-a koji koristi musl libc umjesto glibc.
