等保门户网: 测评整改

GNU Wget 安全漏洞预警

来源:admin 发布日期:2017-11-14

GNU Wget缓冲区溢出漏洞
2017年10月26日,GNU Wget发布了1.19.2之前版本的缓冲区溢出漏洞公告,存在漏洞的wget可能受到恶意HTTP响应攻击,导致拒绝服务和恶意代码执行,相关漏洞信息:
https://www.viestintavirasto.fi/en/cybersecurity/vulnerabilities/2017/haavoittuvuus-2017-037.html
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13089
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-13090

根据公告,漏洞存在于1.19.2之前版本,对应两个CVE:CVE-2017-13089、CVE-2017-13090,由于wget是Unix/linux发行版的基本组件,因此几乎所有发行版或封装调用wget的应用都受影响,Redhat Enterprise Linux和Ubuntu Linux等主流Linux发行版已经发布安全更新补丁可以直接更新,目前网上已经有公开的漏洞分析和测试代码发布,建议尽快更新到新的版本。
 
汇集各发行版安全公告列表:
https://security.archlinux.org/CVE-2017-13089
https://security.archlinux.org/CVE-2017-13090
 
漏洞触发描述
CVE-2017-13089:漏洞在src/http.c源码文件中,wget在一些调用http.c:skip_short_body() 函数情况下,块解析器使用strtol() 读取每个响应分块的长度,但不检查块长度是否是非负数,而在wget调用过程中该数据内容和长度可以完全被攻击者控制,从而导致最终在fd_read()函数中触发栈缓冲区溢出。
 
CVE-2017-13090:漏洞在src/retr.c源码文件中,wget在一些调用retr.c:fd_read_body()函数情况下,块解析器使用strtol() 读取每个响应分块的长度,但不检查块长度是否是非负数,而在wget调用过程中该数据内容和长度可以完全被攻击者控制,从而导致最终在fd_read()函数中触发堆缓冲区溢出。

CVE-2017-13089漏洞测试代码
https://github.com/r1b/CVE-2017-13089
 
影响版本范围
1.19.2之前版本受到影响,包括一些主流的Linux发行版:Red Hat、Debian、Ubuntu、SUSE、Gentoo、CentOS、FreeBSD、Oracle Linux、Amazon Linux AMI等
默认带有wget的Linux发行版众多,请参考各发行版受影响范围:
Red Hat Enterprise Linux 7
https://access.redhat.com/security/cve/CVE-2017-13089
https://access.redhat.com/security/cve/CVE-2017-13090

SUSE(SUSE Linux Enterprise Server/openSUSE)
https://www.suse.com/security/cve/CVE-2017-13089/
https://www.suse.com/security/cve/CVE-2017-13090/

Debian
https://security-tracker.debian.org/tracker/CVE-2017-13089
https://security-tracker.debian.org/tracker/CVE-2017-13090
Found in versions wget/1.16-1, wget/1.19.1-5
Fixed in versions 1.16-1+deb8u4, 1.18-5+deb9u1, wget/1.19.2-1

Ubuntu
https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-13089.html
https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-13090.html
https://usn.ubuntu.com/usn/usn-3464-1/
https://usn.ubuntu.com/usn/usn-3464-2/
Ubuntu 17.10 wget 1.19.1-3ubuntu1.1  
Ubuntu 17.04 wget 1.18-2ubuntu1.1  
Ubuntu 16.04 LTS wget 1.17.1-1ubuntu1.3  
Ubuntu 14.04 LTS wget 1.15-1ubuntu1.14.04.3
Ubuntu 12.04 LTS wget 1.13.4-2ubuntu1.5

Gentoo
https://bugs.gentoo.org/show_bug.cgi?id=CVE-2017-13089
https://bugs.gentoo.org/show_bug.cgi?id=CVE-2017-13090

Oracle Linux version 7
https://linux.oracle.com/cve/CVE-2017-13089.html
https://linux.oracle.com/cve/CVE-2017-13090.html

Amazon Linux AMI
https://alas.aws.amazon.com/ALAS-2017-916.html

CentOS
https://lists.centos.org/pipermail/centos-announce/2017-October/022609.html

FreeBSD
https://reviews.freebsd.org/rP453520

目前网上已经有该漏洞细节和测试代码,建议尽快更新到新的版本和参考其他缓解措施。
 
缓解措施(安全运营建议)
高危:目前漏洞细节和测试代码已经公开,强烈建议参照对应发行版的安全更新指南尽快升级到无漏洞版本或限制wget访问外部HTTP。

安全运营建议:wget是Unix/linux上基本组件,建议使用Linux发行版的企业通过安全配置基线统一实施加固措施。
来源:安恒应急响应中心

【关闭】 【打印】

您是第 47411618 位访问者
沪ICP备 12039260号 京公网安备 11010802025578号