CVE-2015-0235 GHOST glibcのgethosebyname関数の脆弱性

CVE-2015-0235 GHOST とは、Linuxのglibcのgethostbyname系ファミリーの脆弱性です。

読み方

glibc: じーりぶしー
GHOST: ごーすと
CVE: しーぶいいー

概要

glibc とは

glibc とは、GNU バージョンの libc です。 libc とは、C言語でもっとも基本的な機能をあつめた、ライブラリ集です。libcは、ほとんどのプログラムから利用されるライブラリです。つまり、glibc は、Linux のほとんどのアプリケーションから利用されるライブラリになります。

gethostbyname系ファミリー

gethostbyname は、与えられた name に対応する構造体 hostent を返します。name は、ホスト名か、ドット区切りのIPアドレス(ドット付き十進表記)が指定できます。IPアドレスが渡された場合は、名前解決(lookup)は行いません。

struct hostent *gethostbyname(const char *name);
struct hostent *gethostbyname2(const char *name, int af);
int gethostbyname_r(const char *name, struct hostent *ret, char *buf, size_t buflen, struct hostent **result, int *h_errnop);
int gethostbyname2_r(const char *name, int af, struct hostent *ret, char *buf, size_t buflen, struct hostent **result, int *h_errnop);

CVE-2015-0235 GHOST

GHOSTの脆弱性を利用する細工した文字列を gethostbyname() に渡すことにより、アプリケーションのメモリを数バイト上書き可能です。アプリケーションによっては、任意のコードの実行が可能と考えられます。

影響範囲

glibc 2.2 から glibc 2.17 までのバージョンが影響をうけます。
glibc 2.18 は、脆弱性の修正が行われていました（脆弱性の問題として認識されていませんでした）。

対応方法

CentOS

$ sudo yum clean all
$ sudo yum update glibc

Ubuntu/Debian

$ sudo apt update
$ sudo apt upgrade glibc

再起動について

古いライブラリをロードしたままになっている可能性もあるので、OSを再起動するのが安心です。

スクリプト言語への影響は？

スクリプト言語は、ベースの部分では、C言語やCライブラリを使って動くので、影響がないとは言い切れないので、アップデートしましょう。

検証用コード

ghost.c

コードは、下記サイトの転載です。 http://www.openwall.com/lists/oss-security/2015/01/27/9

#include <netdb.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <errno.h>
 
#define CANARY "in_the_coal_mine"
 
struct {
  char buffer[1024];
  char canary[sizeof(CANARY)];
} temp = { "buffer", CANARY };
 
int main(void) {
  struct hostent resbuf;
  struct hostent *result;
  int herrno;
  int retval;
 
  /*** strlen (name) = size_needed - sizeof (*host_addr) - sizeof (*h_addr_ptrs) - 1; ***/
  size_t len = sizeof(temp.buffer) - 16*sizeof(unsigned char) - 2*sizeof(char *) - 1;
  char name[sizeof(temp.buffer)];
  memset(name, '0', len);
  name[len] = '\0';
 
  retval = gethostbyname_r(name, &resbuf, temp.buffer, sizeof(temp.buffer), &result, &herrno);
 
  if (strcmp(temp.canary, CANARY) != 0) {
    puts("vulnerable");
    exit(EXIT_SUCCESS);
  }
  if (retval == ERANGE) {
    puts("not vulnerable");
    exit(EXIT_SUCCESS);
  }
  puts("should not happen");
  exit(EXIT_FAILURE);
}

使用例

$ cc ghost.c
$ ./a.out

FreeBSDへの影響

私のFreeBSD 10.0-RELEASE の環境では、影響はありませんでした。