谷歌研究人員稱近日在Linux、FreeBSD、OpenBSD、NetBSD、macOS等操作系統(tǒng)甚至一些路由器固件中，發(fā)現(xiàn)一個通用軟件包工具內(nèi)存在至少3個可遠(yuǎn)程執(zhí)行惡意代碼的漏洞。
可威脅路由器系統(tǒng)安全的代碼執(zhí)行漏洞曝出
而這個通用軟件包工具是DNSMasq，其是一個可提供DNS緩存和DHCP服務(wù)功能、輕量且易配置的代碼庫。DNSMasq被廣泛應(yīng)用于Android、Ubuntu和其他Linux發(fā)行版系統(tǒng)上，同時也被應(yīng)用在路由器固件上。
在上周發(fā)現(xiàn)的Dnsmasq里存在的7個漏洞中，有3個是允許遠(yuǎn)程執(zhí)行惡意代碼的漏洞。以其中一個編號為CVE-2017-14493的漏洞為例，是針對DHCP功能的，基于堆棧的緩沖區(qū)的溢出漏洞。如果結(jié)合一個單獨(dú)的信息泄漏漏洞，攻擊者可以繞過地址空間布局隨機(jī)化（ASLR）的關(guān)鍵保護(hù)，進(jìn)而規(guī)避其他防御機(jī)制。
注：ASLR是為了防止攻擊者在內(nèi)存中能夠可靠地對跳轉(zhuǎn)到特定利用函數(shù)。
建議大家隨時關(guān)注系統(tǒng)更新
所幸谷歌安全研究人員表示，他們正與DNSMasq的維護(hù)人員保持聯(lián)系，以期在2.78版本上修補(bǔ)上述存在的漏洞。此外，針對該漏洞的Android安全更新將在未來幾周內(nèi)發(fā)布。不過，其他受影響系統(tǒng)尚未及時推出安全補(bǔ)丁，需持續(xù)關(guān)注。
另外6個漏洞的編碼分別為：cve-2017-14491，cve-2017-14492，cve-2017-14494，cve-2017-14495，cve-2017-14496和cve-2017-13704，建議大家隨時關(guān)注系統(tǒng)更新。
京公網(wǎng)安備 11010502049343號