總機：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號信源大廈3206-3211室 郵編：510660
安全公告編號:CNTA-2015-0003
1月28日，CNVD收錄了GNU glibc‘__nss_hostname_digits_dots()’函數(shù)存在的一個緩沖區(qū)溢出漏洞（CNVD-2015-00719，對應(yīng)CVE-2015-0235），互聯(lián)網(wǎng)上稱“Ghost”幽靈漏洞。經(jīng)過對多個Linux操作系統(tǒng)的本地實例測試，成功利用該漏洞可以當前用戶權(quán)限執(zhí)行任意代碼，進而控制操作系統(tǒng)主機。CNVD組織成員單位開展的進一步測試分析，認為該漏洞影響雖然較為廣泛，但從目前披露的利用方式看，要達到在遠程滲透成功需要一定前提（如：系統(tǒng)和網(wǎng)絡(luò)服務(wù)依賴關(guān)系和攻擊數(shù)據(jù)包長度），短期內(nèi)出現(xiàn)大規(guī)模遠程攻擊的可能性還很小。目前GNU官方和部分Linux發(fā)行版廠商已經(jīng)提供了修復(fù)補丁。
一、漏洞情況分析
glibc是GNU發(fā)布的libc庫，即c運行庫。glibc是linux系統(tǒng)中最底層的api，幾乎其它任何運行庫都會依賴于glibc。glibc除了封裝linux操作系統(tǒng)所提供的系統(tǒng)服務(wù)外，它本身也提供了許多其它一些必要功能服務(wù)的實現(xiàn)。
根據(jù)國外漏洞研究者公開的情況進行分析，glibc庫中__nss_hostname_digits_dots()函數(shù)存在緩沖區(qū)溢出漏洞，該漏洞產(chǎn)生的原因是glibc\nss\digits_dots.c 的__nss_hostname_digits_dots函數(shù)未加驗證使用 strcpy (hostname, name)，導(dǎo)致緩沖區(qū)溢出。該漏洞可通過gethostbyname*()函數(shù)在本地或者遠程觸發(fā)。
觸發(fā)的一般場景為：應(yīng)用程序主要使用gethostbyname*()函數(shù)發(fā)起DNS請求，這個函數(shù)會將主機名稱轉(zhuǎn)換為ip地址，很多服務(wù)程序在調(diào)用gethostbyname()之前，會對其做DNS有效性檢查，而通常無法滿足這個長度要求。因此，當提交一個超長又合法的IP地址類型的字符串給gethostbyname()函數(shù)，就會觸發(fā)一個堆溢出。
二、漏洞影響范圍
雖然2013年5月21日GNU官方已經(jīng)修復(fù)了此漏洞(介于glibc-2.17及glibc-2.18之間的版本)，但當時其未把相關(guān)情況作為漏洞處理，因此相關(guān)Linux發(fā)行版并未跟進升級。目前互聯(lián)網(wǎng)研究者測試情況匯總表明，Debian 7 (wheezy), Red Hat Enterprise Linux 6 & 7, CentOS 6&7, Ubuntu 12.04等大多數(shù)的Linux發(fā)行版都受此問題影響，對應(yīng)受影響glic版本為Glibc 2.2/2.17，而Glibc 2.18未受到影響。
針對系統(tǒng)服務(wù)和應(yīng)用服務(wù)的遠程測試情況國內(nèi)外研究機構(gòu)還正在進行，目前的初步結(jié)果表明絕大多數(shù)的本地SUID程序和服務(wù)程序無法利用漏洞攻擊成功， 目前已知受影響的程序有clockdiff，pppd，procmail，Exim，其中Exim郵件服務(wù)器已經(jīng)有可利用的遠程攻擊代碼。
三、漏洞修復(fù)建議
GNU和各大Linux發(fā)行版廠商均已修復(fù)此漏洞，請廣大用戶盡快進行升級：
GNU C Library:?http://www.gnu.org/software/libc/
RedHat:?https://rhn.redhat.com/errata/RHSA-2015-0090.html
Ubuntu:?https://launchpad.net/ubuntu/+source/eglibc
Debian:?https://security-tracker.debian.org/tracker/CVE-2015-0235
參考鏈接：
1.https://www.qualys.com/research/security-advisories/GHOST-CVE-2015-0235.txt
2.http://www.nsfocus.net/index.php?act=alert&do=view&aid=153
3.https://rhn.redhat.com/errata/RHSA-2015-0090.html
4.https://security-tracker.debian.org/tracker/CVE-2015-0235
5.http://bobao.#/news/detail/1166.html
6.http://www.cnvd.org.cn/flaw/show/CNVD-2015-00719
注：CNVD技術(shù)組成員單位綠盟科技、安天科技、東軟、奇虎360、天融信等公司提供了技術(shù)研判支持。CNVD根據(jù)測試情況重點采用了綠盟科技的研判結(jié)論。