越快越好 Linux用户需要赶紧补上glibc漏洞

ahcoder 2025-05-21 11:43 12 浏览

只需点击一个链接或是连接到服务器，便可导致远程代码执行。攻击者可盗取口令、监视用户，甚至控制计算机。更甚者，任何与网络相连的软件，如果使用glibc的话，都有危险。

Glibc(GNU C Library)是大多数Linux中的关键组件，漏洞(CVE-2015-7547)存在于glibc的DNS解析器中，是一个基于堆栈的缓冲区溢出漏洞。一台恶意DNS服务器可以返回给查询者超量的信息，利用这个漏洞用代码淹没程序内存，从而危害该程序，或者是掌握整个系统。

攻击方法

攻击者首先建立一个恶意的DNS服务器，然后发送带有此域名的恶意链接，受害者一旦点击这个链接，其使用的客户端或浏览器就会发送这个域名的查询请求，最终从这个恶意DNS服务器得到一个缓冲区溢出的响应。

这个域名还能够插入到服务器日志文件中，当解析这个域名时将触发远程代码执行，即便是SSH加密的客户端也无法避免。同样，在网络中使用中间人攻击的手段，即可篡改DNS响应，注入恶意代码的载荷。

有各种各样的漏洞利用方法，影响自2009年5月以来发行的glibc2.9版以后所有的版本。

漏洞原理

发现这个漏洞的谷歌研究人员解释，glibc通过alloca函数在堆栈中保有2048字节，这个函数响应DNS查询请求的函数_nss_dns_gethostbyname4_r ，然后是send_dg和send_vc两个函数。如果响应大于2048字节，就会从堆分配一个新的缓冲区并更新所有的信息，包括缓冲区指针、新的的缓冲区大小和响应包大小。在某些情况下，造成堆栈缓冲之间的不匹配，并会分配新的堆。最后的结果就是，堆栈缓冲将被用于存储DNS响应，即使响应包大小超过了堆栈缓冲，以及分配了堆缓冲。该行为导致堆栈缓冲的溢出。

关键问题存在于resolv/res_send.c中，并在使用getaddrinfo函数调用时触发。当启动sudo、curl或其他工具时，均可触发此漏洞利用。

影响程度

凡是使用glibc的Linux用户均受此漏洞影响，幸运的是许多嵌入式Linux设备逃过此劫，因为诸如家用路由器等设备使用的是轻量级的uclibc库。

实际上，该漏洞早去年7月就已经被发现，但当时这个编程上的问题被严重低估。当谷歌安全人员撞到这个漏洞时，他们发现红帽的两位研究人员也正在分析这个问题，但由于问题的严重性，两人并未公布相关信息，只是在私下的进行研究。最终谷歌、红帽双方合力开发了补丁更新。

补救措施

实现远程代码执行，攻击者必需绕过操作系统的安全机制，如ASLR（地址空间布局随机化）、非可执行堆栈保护等。防火墙也可以过滤一些可疑的DNS响应。

因此，安全运维人员可以限制所有TCP协议的DNS响应包大小在1024字节之内，并丢弃超过512字节的UDP协议DNS包。

最后，补丁已出，赶紧更新！

https://sourceware.org/ml/libc-alpha/2016-02/msg00416.html

POC：

https://github.com/fjserna/CVE-2015-7547

linux 用户查看

上一篇：Linux: 检测磁盘坏块你得会吧!
下一篇：linux 查看磁盘信息的常用命令

越快越好 Linux用户需要赶紧补上glibc漏洞

相关推荐

为什么有人认为Linux不如macOS?

linux系统实用篇-8、系统配置与优化

Linux中如何启用root用户

6款Linux常用远程连接工具，你最中意哪一款?

如何远程执行Linux命令和脚本?大技霸来教你

Windows如何远程linux(桌面版)

执手的Linux运维小知识:sshpass工具简化ssh密码输入

如何使用 Linux find 命令查找文件?

Rackspace的所有平台将支持Ubuntu Linux

这次答应我，一举拿下 I/O 多路复用