日前，研究人員在Linux內(nèi)核、幾個開源庫和一些三星Android移動設(shè)備中使用的流行壓縮算法中發(fā)現(xiàn)了一個20年之久的漏洞。發(fā)現(xiàn)這個漏洞的研究人員表示，這個漏洞可能會影響一些汽車和飛機系統(tǒng)，以及其他運行嵌入式開源軟件的消費級電子設(shè)備。

[[115786]]

在過去幾天，我們已經(jīng)看到了針對Linux內(nèi)核以及各種開源媒體庫的整數(shù)溢出漏洞的修復(fù)，這個漏洞允許攻擊者通過拒絕服務(wù)攻擊和遠(yuǎn)程代碼執(zhí)行來攻擊運行所謂的Lempel-Ziv-Oberhumer(LZO)代碼的系統(tǒng)。LZO處理嵌入式系統(tǒng)中IP網(wǎng)絡(luò)流量和文件(通常是圖像)的壓縮和解壓縮。

發(fā)現(xiàn)這個漏洞同時手動審計改代碼的Lab Mouse Security公司移動和嵌入式系統(tǒng)安全專家Don Bailey表示：“最普遍的使用是在圖像數(shù)據(jù)中，解壓縮拍攝的圖片，以及從照相機或視頻流獲取的原始圖像。”

Bailey表示，這個漏洞最棘手的部分在于這可能影響廣泛使用該算法的消費級產(chǎn)品：這取決于產(chǎn)品使用的規(guī)格版本，以及算法是如何部署在系統(tǒng)中的，所有目前我們并不清楚有多少消費級產(chǎn)品正處于危險之中。

他表示，有幾個關(guān)鍵產(chǎn)品中部署了LZO，包括OpenVPN、三星Android設(shè)備、Apache Hadoop、瞻博網(wǎng)絡(luò)Junos Ipsec、mplayer2、gstreamer和Illumos/Solaris BSD ZFS(Iz4)，但目前還不清楚這些軟件程序中的LZO部署是否容易受到攻擊。他表示：“最有可能的情況是，它們可能都會受到DoS的影響。”

是否會受到影響完全取決于該算法的部署情況，以及底層架構(gòu)和應(yīng)用程序的內(nèi)存布局。因此，所有LZO都應(yīng)該對該漏洞的風(fēng)險進行評估，并且進行修復(fù)。

對于這個漏洞，讓人擔(dān)憂的是它可能給商業(yè)系統(tǒng)帶來潛在的危險。Bailey表示：“如果它運行在嵌入式汽車或飛機系統(tǒng)，它可能被用來導(dǎo)致軟件故障，以及導(dǎo)致單片機或嵌入式系統(tǒng)故障。根據(jù)架構(gòu)的不同，該系統(tǒng)可能會或者可能不會發(fā)生故障。”

它還可以用來通過視聽媒體遠(yuǎn)程執(zhí)行代碼，他表示：“如果你正在觀看視頻，一個惡意視頻可能會在你的計算機執(zhí)行shell，這意味著，你觀看視頻時會執(zhí)行代碼。”

對于該漏洞的影響范圍還有很多未知數(shù)。美國宇航局的Mars Rover同樣在運行LZO，但Bailey表示，由于我們不知道代碼是如何部署的，我們也沒有辦法知道火星車是否會受到影響。

Rapid7公司全球安全戰(zhàn)略家Trey Ford表示，LZO壓縮是很普遍的。他表示：“你會發(fā)現(xiàn)它幾乎在所有Linux的版本中，它還可能會影響Solaris、iOS和Android。需要注意的是，一些Linux內(nèi)核(操作系統(tǒng)的基礎(chǔ))版本幾乎被用于所有物聯(lián)網(wǎng)設(shè)備中，無論功能是什么。”

但是由于不清楚該漏洞在不同部署中的情況，我們很難判斷這個漏洞帶來的危害。Ford表示：“這個漏洞可能會允許繞過修改過的內(nèi)核部署中系統(tǒng)啟動加載器的簽名，或者可能通過特殊的USB驅(qū)動器在本地內(nèi)核水平進行漏洞利用。如果沒有更多細(xì)節(jié)，我們很難評估該漏洞的潛在威脅。”

同時，Bailey表示：“隨著物聯(lián)網(wǎng)變得更加普及，我們將會看到更多這樣的漏洞。”

然而，并不是所有系統(tǒng)都會進行LZO修復(fù)或者未來修復(fù)。“很多較舊的項目可能不會修復(fù)，”他表示，“企業(yè)可能有很多傳統(tǒng)系統(tǒng)，并不知道它們在使用這個庫。”

這個LZO漏洞與Heartbleed有一些相似之處，但目前還沒有Heartbleed那么大的影響力。他表示：“它可能與Heartbleed一樣危險，因為它影響著廣泛的平臺，這個漏洞可能帶來內(nèi)存泄露、拒絕服務(wù)攻擊和遠(yuǎn)程代碼執(zhí)行。”

Bailey已經(jīng)公布了關(guān)于該LZO漏洞的技術(shù)細(xì)節(jié)信息。

下面是針對該漏洞發(fā)布的修復(fù)程序：

· 今天發(fā)布了Linux內(nèi)核更新，根據(jù)該項目的開發(fā)人員表示，所有Linux發(fā)行版的補丁現(xiàn)在都可用

· 根據(jù)開源項目開發(fā)人員表示，Libav的CamStudio和NuppelVideo解碼器版本和使用LZO的Mastroska分路器都受到影響。Libav 0.89和10都容易受到該漏洞的影響，本周進行了修復(fù)。

· Videolan和ffmpeg媒體播放器本周都進行了修復(fù)

· Oberhumer開發(fā)的LZO專業(yè)數(shù)據(jù)壓縮庫被用在Rover、飛機、卡、手機、操作系統(tǒng)和游戲機中，該公司對于補丁修復(fù)以及其系統(tǒng)是否受到該漏洞的影響并沒有作出回應(yīng)。

但是該公司已經(jīng)發(fā)布了對該軟件的更新，LZO 2.07。這個更新并沒有明確它是否修復(fù)了LZO漏洞。Bailey表示，這個網(wǎng)站并沒有標(biāo)明新版本中修復(fù)的安全問題。

Oberhumer在其網(wǎng)站稱：“基本上，如果你有一輛汽車、移動電話、計算機、控制臺，或者最近到醫(yī)院就診，很有可能你使用了我們的嵌入式數(shù)據(jù)壓縮技術(shù)。”