日前，研究人員在Linux內(nèi)核、幾個(gè)開源庫和一些三星Android移動(dòng)設(shè)備中使用的流行壓縮算法中發(fā)現(xiàn)了一個(gè)20年之久的漏洞。發(fā)現(xiàn)這個(gè)漏洞的研究人員表示，這個(gè)漏洞可能會(huì)影響一些汽車和飛機(jī)系統(tǒng)，以及其他運(yùn)行嵌入式開源軟件的消費(fèi)級(jí)電子設(shè)備。

[[115786]]

在過去幾天，我們已經(jīng)看到了針對(duì)Linux內(nèi)核以及各種開源媒體庫的整數(shù)溢出漏洞的修復(fù)，這個(gè)漏洞允許攻擊者通過拒絕服務(wù)攻擊和遠(yuǎn)程代碼執(zhí)行來攻擊運(yùn)行所謂的Lempel-Ziv-Oberhumer(LZO)代碼的系統(tǒng)。LZO處理嵌入式系統(tǒng)中IP網(wǎng)絡(luò)流量和文件(通常是圖像)的壓縮和解壓縮。

發(fā)現(xiàn)這個(gè)漏洞同時(shí)手動(dòng)審計(jì)改代碼的Lab Mouse Security公司移動(dòng)和嵌入式系統(tǒng)安全專家Don Bailey表示：“最普遍的使用是在圖像數(shù)據(jù)中，解壓縮拍攝的圖片，以及從照相機(jī)或視頻流獲取的原始圖像。”

Bailey表示，這個(gè)漏洞最棘手的部分在于這可能影響廣泛使用該算法的消費(fèi)級(jí)產(chǎn)品：這取決于產(chǎn)品使用的規(guī)格版本，以及算法是如何部署在系統(tǒng)中的，所有目前我們并不清楚有多少消費(fèi)級(jí)產(chǎn)品正處于危險(xiǎn)之中。

他表示，有幾個(gè)關(guān)鍵產(chǎn)品中部署了LZO，包括OpenVPN、三星Android設(shè)備、Apache Hadoop、瞻博網(wǎng)絡(luò)Junos Ipsec、mplayer2、gstreamer和Illumos/Solaris BSD ZFS(Iz4)，但目前還不清楚這些軟件程序中的LZO部署是否容易受到攻擊。他表示：“最有可能的情況是，它們可能都會(huì)受到DoS的影響。”

是否會(huì)受到影響完全取決于該算法的部署情況，以及底層架構(gòu)和應(yīng)用程序的內(nèi)存布局。因此，所有LZO都應(yīng)該對(duì)該漏洞的風(fēng)險(xiǎn)進(jìn)行評(píng)估，并且進(jìn)行修復(fù)。

對(duì)于這個(gè)漏洞，讓人擔(dān)憂的是它可能給商業(yè)系統(tǒng)帶來潛在的危險(xiǎn)。Bailey表示：“如果它運(yùn)行在嵌入式汽車或飛機(jī)系統(tǒng)，它可能被用來導(dǎo)致軟件故障，以及導(dǎo)致單片機(jī)或嵌入式系統(tǒng)故障。根據(jù)架構(gòu)的不同，該系統(tǒng)可能會(huì)或者可能不會(huì)發(fā)生故障。”

它還可以用來通過視聽媒體遠(yuǎn)程執(zhí)行代碼，他表示：“如果你正在觀看視頻，一個(gè)惡意視頻可能會(huì)在你的計(jì)算機(jī)執(zhí)行shell，這意味著，你觀看視頻時(shí)會(huì)執(zhí)行代碼。”

對(duì)于該漏洞的影響范圍還有很多未知數(shù)。美國宇航局的Mars Rover同樣在運(yùn)行LZO，但Bailey表示，由于我們不知道代碼是如何部署的，我們也沒有辦法知道火星車是否會(huì)受到影響。

Rapid7公司全球安全戰(zhàn)略家Trey Ford表示，LZO壓縮是很普遍的。他表示：“你會(huì)發(fā)現(xiàn)它幾乎在所有Linux的版本中，它還可能會(huì)影響Solaris、iOS和Android。需要注意的是，一些Linux內(nèi)核(操作系統(tǒng)的基礎(chǔ))版本幾乎被用于所有物聯(lián)網(wǎng)設(shè)備中，無論功能是什么。”

但是由于不清楚該漏洞在不同部署中的情況，我們很難判斷這個(gè)漏洞帶來的危害。Ford表示：“這個(gè)漏洞可能會(huì)允許繞過修改過的內(nèi)核部署中系統(tǒng)啟動(dòng)加載器的簽名，或者可能通過特殊的USB驅(qū)動(dòng)器在本地內(nèi)核水平進(jìn)行漏洞利用。如果沒有更多細(xì)節(jié)，我們很難評(píng)估該漏洞的潛在威脅。”

同時(shí)，Bailey表示：“隨著物聯(lián)網(wǎng)變得更加普及，我們將會(huì)看到更多這樣的漏洞。”

然而，并不是所有系統(tǒng)都會(huì)進(jìn)行LZO修復(fù)或者未來修復(fù)。“很多較舊的項(xiàng)目可能不會(huì)修復(fù)，”他表示，“企業(yè)可能有很多傳統(tǒng)系統(tǒng)，并不知道它們?cè)谑褂眠@個(gè)庫。”

這個(gè)LZO漏洞與Heartbleed有一些相似之處，但目前還沒有Heartbleed那么大的影響力。他表示：“它可能與Heartbleed一樣危險(xiǎn)，因?yàn)樗绊懼鴱V泛的平臺(tái)，這個(gè)漏洞可能帶來內(nèi)存泄露、拒絕服務(wù)攻擊和遠(yuǎn)程代碼執(zhí)行。”

Bailey已經(jīng)公布了關(guān)于該LZO漏洞的技術(shù)細(xì)節(jié)信息。

下面是針對(duì)該漏洞發(fā)布的修復(fù)程序：

· 今天發(fā)布了Linux內(nèi)核更新，根據(jù)該項(xiàng)目的開發(fā)人員表示，所有Linux發(fā)行版的補(bǔ)丁現(xiàn)在都可用

· 根據(jù)開源項(xiàng)目開發(fā)人員表示，Libav的CamStudio和NuppelVideo解碼器版本和使用LZO的Mastroska分路器都受到影響。Libav 0.89和10都容易受到該漏洞的影響，本周進(jìn)行了修復(fù)。

· Videolan和ffmpeg媒體播放器本周都進(jìn)行了修復(fù)

· Oberhumer開發(fā)的LZO專業(yè)數(shù)據(jù)壓縮庫被用在Rover、飛機(jī)、卡、手機(jī)、操作系統(tǒng)和游戲機(jī)中，該公司對(duì)于補(bǔ)丁修復(fù)以及其系統(tǒng)是否受到該漏洞的影響并沒有作出回應(yīng)。

但是該公司已經(jīng)發(fā)布了對(duì)該軟件的更新，LZO 2.07。這個(gè)更新并沒有明確它是否修復(fù)了LZO漏洞。Bailey表示，這個(gè)網(wǎng)站并沒有標(biāo)明新版本中修復(fù)的安全問題。

Oberhumer在其網(wǎng)站稱：“基本上，如果你有一輛汽車、移動(dòng)電話、計(jì)算機(jī)、控制臺(tái)，或者最近到醫(yī)院就診，很有可能你使用了我們的嵌入式數(shù)據(jù)壓縮技術(shù)。”