小規模の組み込みシステム向けのユーティリティプログラムであるBusyboxは、複数のセキュリティ脆弱性の影響を受けていました。Common Vulnerabilities and Exposuresプロジェクトでは、次の問題を特定しています。

CVE-2011-5325

tarのBusybox実装に、パストラバーサルの脆弱性が見つかりました。tarは、現在の作業ディレクトリの外を指すシンボリックリンクを抽出し、他のファイルを抽出するときにそのシンボリックリンクに従います。これにより、信頼できないtarballを抽出する際に、ディレクトリトラバーサル攻撃が可能になります。

CVE-2013-1813

/devのデバイスノードまたはシンボリックリンクを2-or-deeperサブディレクトリ（/dev/dir1/dir2.../node）内に作成する必要がある際、中間ディレクトリが不適切なアクセス許可で作成されます。

CVE-2014-4607

整数オーバーフローは、lzo1x_decompress_safe関数の「リテラル実行」のいずれかの変数を処理する際に発生する可能性があります。ゼロバイトを処理する際、これらの3つのロケーションはそれぞれ整数オーバーフローの対象になります。これにより、リテラルをメモリ破損にコピーするコードが漏洩します。

CVE-2014-9645

BusyBoxのmodutils/modprobe.cにあるadd_probe関数により、「ifconfig / usbserial up」コマンドまたは「mount- t / snd_pcm none /」コマンドによって実証されるように、ローカルユーザーは、モジュール名の/（スラッシュ）文字を介したカーネルモジュールのロードに意図した制限を回避することができます。

CVE-2016-2147

BusyBoxのDHCPクライアント（udhcpc）の整数オーバーフローにより、リモート攻撃者が、無効な形式のRFC1035でエンコードされたドメイン名を介してサービス拒否（クラッシュ）を引き起こすことができます。これにより、境界外のヒープ書き込みが誘発されます。

CVE-2016-2148

BusyBoxのDHCPクライアント（udhcpc）におけるヒープベースのバッファオーバーフローにより、リモート攻撃者が、OPTION_6RD解析に関連するベクトルを介して、詳細不明な影響を及ぼす可能性があります。

CVE-2017-15873

BusyBoxのarchiva/libarchive /decompress_bunzip2.cのget_next_block関数に整数オーバーフローがあり、書き込みアクセス違反が発生する可能性があります。

CVE-2017-16544

BusyBoxのlibbb/lineedit.cのadd_match関数で、ディレクトリのファイル名のリストを取得するために使用されるシェルのタブオートコンプリート機能がファイル名をサニタイズせず、ターミナルでエスケープシーケンスを実行します。これにより、コードの実行、任意のファイルの書き込み、またはその他の攻撃が発生する可能性があります。

CVE-2018-1000517

BusyBoxのBusybox wgetに、ヒープベースのバッファオーバーフローを引き起こす可能性があるバッファオーバーフローの脆弱性が含まれています。この攻撃は、ネットワーク接続経由で悪用される可能性があるようです。

CVE-2015-9621

特別に細工されたzipファイルを解凍すると、無効なポインターの計算や無効なアドレスの読み取りのクラッシュが発生します。

Debian 9 'Stretch'では、これらの問題はバージョン1:1.22.0-19+deb9u1で修正されています。

お使いのbusyboxパッケージをアップグレードすることを推奨します。

busyboxの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/busybox

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-2559-1：busyboxのセキュリティ更新

critical Nessus プラグイン ID 146504

バージョン 1.3