“zlib” bibliotekoje – saugumo spraga

Saugumo spraga plačiai paplitusioje suglaudinimo funkcijų bibliotekoje “zlib” kelia didelę grėsmę daugelio “Linux” ir kitų operacijų sistemų (OS) programų, naudojančių šią biblioteką, vartotojams.

Šią saugumo spragą atrado “Linux” vartotojas Matiasas Klasenas. Testuodamas “gdk-pixbuf” biblioteką jis sukūrė “PNG” formato bylą, kuri sukėlė klaidą “libpng” bibliotekoje. Kaip išaiškėjo vėliau, ši klaida kilo dėl “zlib 1.1.3” bibliotekos klaidos, kurią naudoja “libpng”. Kai kuriais atvejais “zlib” gali kelis kartus atlaisvinti tą pačią atminties vietą.

Išnaudojant šią saugumo spragą, kompiuterių chuliganas gali pabandyti sugadinti programų, kurios naudojasi “zlib”, funkcionavimą. Be to, egzistuoja tikimybė, kad tokiu būdu sistemoje gali būti paleistas vykdyti koks nors piktavališkas programinis kodas.

Kadangi ši saugumo spraga atrasta būtent bibliotekoje, pažeidžiamos yra bet kurios programos, dirbančios su šia biblioteka, nepriklausomai nuo operacijų sistemos, kurioje jos veikia. “zlib” naudoja daugelis programų, dirbančių su suglaudintais duomenimis. Į šią biblioteka kreipiasi ir “Linux” grafinė vartotojo sąsaja “X11”, interneto naršyklės “Netscape”, “Galeon” ir “Internet Explorer”, daugelis programų darbui su grafika ir panašiai. Bibliotekos funkcijos naudojamos ir glaudinant duomenis, siunčiamus tinklu.

Kai kurios programos kreipiasi į dinamiškas šios bibliotekos versijas, o kitos yra susiję statiškai. Pirmuoju atveju užtenka tik įdiegti ištaisytą “zlib” versiją”. Antruoju atveju padėtis labiau komplikuota: klaidingas kodas įdiegtas į programas tiesiogiai. Taigi vykdomąsias bylas teks sukurti iš naujo.

Kiek žinoma, iki šiol šios saugumo spragos “hackeriai” niekada neišnaudojo, tačiau kompiuterių specialistų teigimu, tai tik laiko klausimas.