Se ha corregido una vulnerabilidad de desbordamiento de pila que afecta al servidor X11. El fallo permitiría a un atacante local elevar privilegios a root a través de un archivo de fuentes de usuario.
X11 es un servidor gráfico, desarrollador por el MIT a mediado de los años 80, que provee de interfaz gráfica a los sistemas UNIX. La arquitectura cliente-servidor permite utilizar un solo servidor X11 sobre múltiples clientes.
Se da la curiosa circunstancia de que el fallo encontrado estaba presente desde el año 1991 y, presumiblemente, no ha sido conocido hasta ahora. El error no ha sido encontrado tras una laboriosa investigación o revisión concienzuda del código, el fallo fue detectado tras procesar el código fuente a través de la herramienta de análisis estático “cppcheck“.
“cppcheck” es una interesante herramienta, escrita en C++ y con licencia GPL, que nos permite analizar el código fuente en lenguaje C y C++. Tras el procesamiento del código fuente se nos indica una lista de errores y advertencias que podría contener el código del programa. Entre los errores que detecta se hallan los típicos desbordamientos de búfer, pérdidas de memoria o doble liberación de memoria entre otros.
El fallo que afecta al servidor X11 se encuentra en la librería libXfont, librería usada para dibujar tipografías, concretamente en el archivo “lib/libXfont/src/bitmap/bdfread.c“. Tal y como se puede deducir de la propia advertencia de cppcheck:
[lib/libXfont/src/bitmap/bdfread.c:341]: (warning)
scanf without field width limits can crash with huge input data.
Se emplea un uso inadecuado de la función “sscanf” de la librería estándar de C. En concreto y como podemos ver en el parche aplicado por los desarrolladores, no se está limitando el tamaño de la cadena a leer desde “line” a “charName“. Esto terminaría desbordando el tamaño de la variable en la pila que como podemos ver es una variable automática cuyo tipo es un array de 100 char.
diff —git a/src/bitmap/bdfread.c b/src/bitmap/bdfread.c
index e2770dc..e11c5d2 100644
— a/src/bitmap/bdfread.c
+++ b/src/bitmap/bdfread.c
@@ –338,7 +338,7 @@ bdfReadCharacters(FontFilePtr file, FontPtr pFont, bdfFileState *pState,
char charName[100];
int ignore;
– if (sscanf((char *) line, “STARTCHAR %s“, charName) != 1) {
+ if (sscanf((char *) line, “STARTCHAR %99s“, charName) != 1) {
bdfError(“bad character name in BDF file\n“);
goto BAILOUT; /* bottom of function, free and return error */
}
La solución ha sido simplemente limitar el tamaño de lectura a 99 dejando una unidad para la terminación ‘\0‘ de cadena.
Esta función se usa cuando se están procesando archivos BDF (Glyph Binary Distribution Format), un formato de archivo para almacenar mapas de bits de fuentes propiedad de Adobe. Dichos archivos pueden ser manipulados por un atacante para incluir nombres de carácter arbitrariamente largos que permitan sobrescribir el búfer reservado. Si se consigue explotar es posible elevar privilegios y ejecutar código arbitrario con permisos de root.
Más información:
X.Org Security Advisory: CVE-2013-6462: Stack buffer overflow in parsing of BDF font files in libXfont
CVE-2013-6462: unlimited sscanf overflows stack buffer in bdfReadCharacters()
David García
Twitter: @dgn1729
Deja un comentario