Linux內核isdn_net.c文件 本地溢出漏洞

class="6986">

開源操作系統Linux內核Linux Kernel實現上存在本地溢出漏洞，此漏洞存在於drivers/isdn/i4l/isdn_net.c文件中的isdn_net_setcfg（）函數在處理發送給ISDN偽設備（/dev/isdnctrl）的IOCTL配置請求時。
　
　　更新日期：2007-12-03
　
　　受影響系統：
　
　　Linux kernel 2.6.23
　
　　描述：
　
　　BUGTRAQ ID： 26605
　
　　CVE（CAN） ID： CVE-2007-6063
　
　　Linux Kernel是開放源碼操作系統Linux所使用的內核。
　
　　Linux Kernel實現上存在漏洞，本地攻擊者可能利用此漏洞提升權限。
　
　　Linux Kernel的drivers/isdn/i4l/isdn_net.c文件中的isdn_net_setcfg（）函數在處理發送給ISDN偽設備（/dev/isdnctrl）的IOCTL配置請求時存在緩沖區溢出漏洞：
　
;

isdn_ioctl (drivers/isdn/i4l/isdn_common.c):
　　1270 isdn_ioctl(struct inode *inode, struct file *file, uint cmd, ulong arg)
　　...
　　...
　　1410 case IIOCNETSCF:
　　1411 
　　1412 if (arg) {
　　1413 if (copy_from_user(&cfg, argp, sizeof(cfg))) *** <- cfg is user-controlled
　　1414 return -EFAULT;
　　1415 return isdn_net_setcfg(&cfg); *** <-call isdn_net_setcfg()
　　1416 } else
　　1417 return -EINVAL;
　　...
　　在1413行，cfg是從用戶空間讀取的，因此受用戶控制。
在1415行調用了isdn_net_setcfg()函數，&cfg作為參數傳送給了isdn_net_setcfg()。
　　isdn_net_setcfg (drivers/isdn/i41/isdn_net.c):
　　2664 isdn_net_setcfg(isdn_net_ioctl_cfg * cfg)
　　2665 {
　　...
　　2777 if (cfg->exclusive > 0) {
　　2778 unsigned long flags;
　　2779
　　2780 
　　2781 spin_lock_irqsave(&dev->lock, flags);
　　2782 if ((i = isdn_get_free_channel(ISDN_USAGE_NET,
　　2783 lp->l2_proto, lp->l3_proto, drvidx,
　　2784 chidx, lp->msn)) < 0) {
　　2785 
　　2786 lp->exclusive = -1;
　　2787 spin_unlock_irqrestore(&dev->lock, flags);
　　2788 return -EBUSY;
　　2789 }
　　2790 
　　2791 dev->usage = ISDN_USAGE_EXCLUSIVE;
　　2792 isdn_info_update();
　　2793 spin_unlock_irqrestore(&dev->lock, flags);
　　2794 lp->exclusive = i;
　　2795 } else {
　　2796 
　　2797 lp->exclusive = -1;
　　2798 if ((lp->pre_device != -1) && (cfg->exclusive == -1)) {
　　2799 isdn_unexclusive_channel(lp->pre_device, lp->pre_channel);
　　2800 isdn_free_channel(lp->pre_device, lp->pre_channel, ISDN_USAGE_NET);
　　2801 drvidx = -1;
　　2802 chidx = -1;
　　2803 }
　　2804 }
　　2805 strcpy(lp->msn, cfg->eaz); *** <- Possible overrun of lp->msn by cfg-eaz
　　2806 lp->pre_device = drvidx;
　　2807 lp->pre_channel = chidx;
　　2808 lp->onhtime = cfg->onhtime;
　　2809 lp->charge = cfg->charge;
　　...
　　2884 return -ENODEV;
　　2885 }

在2805行調用了strcpy()，lp->msn參數大小為32，cfg->eaz大小為256。由於*cfg的數據是用戶可控的，因此cfg->eaz也是用戶可控的，這樣就可以通過cfg->eaz字符串覆蓋目標字符串lp->msn。如果cfg->eaz字符串的長度大於32的話，就可以觸發緩沖區溢出。

建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本：http://www.kernel.org/