Ethereal 13 Protocol Parsers Remote Stack Overflow Vulnerability (CVE-2004-0176)

重要情報抽出 バグ概要 脆弱性名称 Ethereal における複数の（13件）リモートヒープオーバーフロー脆弱性 影響を受けるバージョン Ethereal 0.8.14 - 0.10.2 影響を受けるアプリケーション 複数プロトコル対応パケットスニファ「Ethereal」 リスクレベル 深刻 影響を受けるパースプロセッサ BGP、EIGRP、IGAP、IRDA、ISUP、NetFlow、PGM、TCAP、UCP 詳細 コード監査により、13件のリモートからトリガー可能なスタックオーバーフロー脆弱性が発見されました。 各脆弱性は、注意深く構築されたパケットを注入するか、悪意のあるパケットキャプチャファイルをユーザーに読み込ませることで、任意コードの実行を可能にします。 個々の脆弱性の説明 1. NetFlow v9 パースプロセッサのテンプレートキャッシュオーバーフロー - v9_template 構造体を解析する際、テンプレートエントリカウントが64より大きいとスタックバッファオーバーフローが発生し、保存された命令ポインタを上書きできるため、リモートコード実行が可能になります。 2. IGAP プロトコルパースプロセッサのアカウントオーバーフローとメッセージオーバーフロー - 長すぎるアカウント名（>17）または長すぎるメッセージ（>65）を含む異なるバッファを解析すると、スタックがオーバーフローし、最大238（または190）バイトを上書きできる可能性があります。どちらの場合も、リモートコード実行の悪用が可能です。 3. EIGRP プロトコルの TLV_IP_INT 長IPアドレスオーバーフローおよび TLV_IP_EXT 長IPアドレスオーバーフロー - 長すぎるIPアドレスを含むEIGRP IPパケットを解析すると、スタックバッファオーバーフローが発生し、リモートコード実行が可能になる可能性があります。 4. PGM プロトコルの NakList オーバーフロー - 注意深く構築された NakList を持つ PGM パケットを解析すると、非常に小さなスタックオーバーフローが発生する可能性があります。しかし、スタックのレイアウトにより、コード実行の悪用は unlikely（ほぼ不可能）と思われます。 5. IRDA プロトコルプラグインの IRCOM_PORT_NAME オーバーフロー - 長すぎるポート名を含む IRCOM_PORT_NAME パケットを解析すると、スタック上の最大2バイトを上書きできます。[06]と同様に、スタックのレイアウトにより、リモートコード実行は非常に困難または不可能です。 6. BGP プロトコルの MPLS ラベルオーバーフロー - MPLS IPv6 ラベルを持つ BGP パケットを解析すると、スタック上の最大13バイトが任意のデータで上書きされる可能性があります。スタックのレイアウトにより、悪用は unlikely（ほぼ不可能）であり、テストされていません。 7. ISUP プロトコルの相互運用機能アドレス（IWFA）オーバーフロー - ISUP パケットを解析する際、大きすぎる IWFA の存在によりスタックバッファオーバーフローが発生し、リモートコード実行を引き起こす可能性があります。 8. TCAP プロトコルの TID オーバーフロー - TCAP パケット内の ASN.1 符号化トランザクションIDを処理する際、4バイトのスタック変数がオーバーフローする可能性があり、リモートコード実行を引き起こす可能性があります。 9. UCP プロトコルの文字列フィールド、整数フィールド、時間フィールドのオーバーフロー - UCP パケット内の文字列フィールド、整数フィールド、時間フィールドを処理する際、スタックバッファがオーバーフローする可能性があり、リモートコード実行を引き起こす可能性があります。 - ネットワーク経由でこれらの脆弱性を悪用するには、攻撃者が単一のTCPパケットに BUFSIZ より多くのバイトを配置できる必要があります。つまり、システムの MTU が BUFSIZ より大きい場合のみ、ネットワーク経由で脆弱性を悪用できます。glibc システムでは BUFSIZ は8192、BSD システムでは1024、Windows システムでは512です。 脆弱性開示タイムライン 2004年3月5日：Ethereal 開発者に連絡し、10件の脆弱性を通知。 2004年3月6日：EIGRP、IGAP、ISUP、BGP を含む6件の脆弱性を修正。 2004年3月7日：IRDA 脆弱性を修正。 2004年3月8日：PGM 脆弱性を修正。 2004年3月9日：NetFlow 脆弱性を修正。 2004年3月17日：UCP 脆弱性を発見し、ベンダーに通知。 2004年3月19日：UCP および TCAP 脆弱性を修正。 2004年3月22日：Ethereal 開発者がミニセキュリティ公告を発表し、ユーザーに今週後半にリリースされるバージョン0.10.3へのアップグレードを促す。 2004年3月23日：公開開示。 CVE 情報 本脆弱性は CVE プロジェクトにより CAN-2004-0176 として命名されました。 推奨対策 Ethereal をバージョン0.10.3にアップグレードするか、ディストリビュータから修正パッチを取得する前に、以下のパースプロセッサを無効にすることを強く推奨します。 - BGP、EIGRP、IGAP、IRDA、ISUP、NetFlow、PGM、TCAP、UCP

目標達成 すべての支援者に感謝 — 100%達成しました！

Ethereal 13 Protocol Parsers Remote Stack Overflow Vulnerability (CVE-2004-0176)

目標達成すべての支援者に感謝 — 100%達成しました！