Брешь во фреймворке может вызвать сбой в работе GPS-систем

Баг в утилите gpsd позволяет злоумышленнику выполнить сторонний код и вызвать отказ в обслуживании.

Центр реагирования на киберугрозы в критически важных инфраструктурах (ICS-CERT) опубликовал информацию об уязвимости, найденной в программах opensource-проекта gpsd. Специалисты выяснили, что в коде двух утилит обнаружилась ошибка, которая может привести к переполнению буфера и позволить злоумышленнику выполнить сторонний код на устройстве. Эксплуатация бага требует высокой квалификации нападающего; данные об атаках через эту брешь отсутствуют.

Уязвимость выявлена во фреймворке с открытым кодом gpsd версии 3.17 и ранее, вплоть до сборки 2.90, а также релизах с 1.0 по 1.3 утилиты microjson. Обе программы предназначены для сбора и обработки данных с подключенных к устройству ресиверов GPS или AIS. Уязвимые разработки используются во многих мобильных устройствах, а также системах контроля геолокации на транспорте, в армии и экстренных службах.

Как выяснили ИБ-эксперты General Electric, обнаружившие брешь, удаленный злоумышленник может добиться переполнения буфера стека, отправив вредоносный TCP-пакет в адрес уязвимой системы или внедрив в нее токен JSON. Преступник способен вызвать сбой в работе устройства или выполнить на нем удаленный код. По мнению специалистов, брешь, зарегистрированная как CVE-2018-17937, также может стать причиной утечки данных.

Создатели утилит уже выпустили заплатки для своих разработок. Авторам продуктов, включающих в себя gpsd, необходимо обновить фреймворк до версии 3.18, а пользователям microjson — скачать релиз 1.4. ИБ-специалисты также известили о проблеме Google, однако эксперты компании считают, что баг не затрагивает устройства под управлением Android.

Использование разработок с открытым кодом несет определенные риски, поскольку администраторы корпоративных систем могут не знать, какие opensource-компоненты входят в состав используемых в организации продуктов.

Как показало прошлогоднее исследование компании Sonatype, более 1 млн брешей в таком ПО не зарегистрировано в Национальной базе уязвимостей США (National Vulnerability Database), а значит, создатели программ могут просто не знать, что используют ненадежные компоненты.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

1

Всего голосов: 1

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля