CVE-2022-24903

一、漏洞信息
 漏洞编号：[CVE-2022-24903](https://nvd.nist.gov/vuln/detail/CVE-2022-24903)
 漏洞归属组件：[rsyslog](https://gitee.com/src-openeuler/rsyslog)
 漏洞归属的版本：8.2006.0,8.2012.0,8.2110.0
 CVSS V3.0分值：
  BaseScore：8.1 High
  Vector：CVSS：3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
 漏洞简述：
  Rsyslog is a rocket-fast system for log processing. Modules for TCP syslog reception have a potential heap buffer overflow when octet-counted framing is used. This can result in a segfault or some other malfunction. As of our understanding, this vulnerability can not be used for remote code execution. But there may still be a slight chance for experts to do that. The bug occurs when the octet count is read. While there is a check for the maximum number of octets, digits are written to a heap buffer even when the octet count is over the maximum, This can be used to overrun the memory buffer. However, once the sequence of digits stop, no additional characters can be added to the buffer. In our opinion, this makes remote exploits impossible or at least highly complex. Octet-counted framing is one of two potential framing modes. It is relatively uncommon, but enabled by default on receivers. Modules `imtcp`, `imptcp`, `imgssapi`, and `imhttp` are used for regular syslog message reception. It is best practice not to directly expose them to the public. When this practice is followed, the risk is considerably lower. Module `imdiag` is a diagnostics module primarily intended for testbench runs. We do not expect it to be present on any production installation. Octet-counted framing is not very common. Usually, it needs to be specifically enabled at senders. If users do not need it, they can turn it off for the most important modules. This will mitigate the vulnerability.
 漏洞公开时间：2022-05-05 08:00
 漏洞创建时间：2022-05-06 08:37:30
 漏洞详情参考链接：
  https://nvd.nist.gov/vuln/detail/CVE-2022-24903
 漏洞分析指导链接：
  https://gitee.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
 漏洞数据来源:
  openBrain开源漏洞感知系统
 漏洞补丁信息：
  <details>
<summary>详情</summary>

| 影响的包 | 修复版本 | 修复补丁 | 问题引入补丁 | 来源  |
| ------- | -------- | ------- | -------- | --------- |
|  |  | https://github.com/rsyslog/rsyslog/commit/f211042ecbb472f9d8beb4678a65d272b6f07705 |  | MISC |

</details>

二、漏洞分析结构反馈
 影响性分析说明：
    Rsyslog 是一个用于日志处理的快速系统。当使用八位字节计数的帧时，用于 TCP 系统日志接收的模块可能存在堆缓冲区溢出。这可能会导致段错误或其他一些故障。据我们了解，该漏洞不能用于远程代码执行。但是专家们可能仍然有一点机会这样做。读取八位字节计数时会发生错误。当检查最大八位字节数时，即使八位字节计数超过最大值，数字也会写入堆缓冲区，这可用于溢出内存缓冲区。但是，一旦数字序列停止，就不能将其他字符添加到缓冲区中。在我们看来，这使得远程攻击变得不可能或至少非常复杂。八位组计数成帧是两种可能的成帧模式之一。它相对不常见，但默认情况下在接收器上启用。模块 imtcp、imptcp、imgssapi 和 imhttp 用于常规 syslog 消息接收。最好不要将它们直接暴露给公众。如果遵循这种做法，风险就会大大降低。模块“imdiag”是一个诊断模块，主要用于测试台运行。我们不希望它出现在任何生产安装中。八位字节组帧并不常见。通常，它需要在发件人处专门启用。如果用户不需要它，他们可以为最重要的模块关闭它。这将减轻漏洞。如果遵循这种做法，风险就会大大降低。模块“imdiag”是一个诊断模块，主要用于测试台运行。我们不希望它出现在任何生产安装中。八位字节组帧并不常见。通常，它需要在发件人处专门启用。如果用户不需要它，他们可以为最重要的模块关闭它。这将减轻漏洞。如果遵循这种做法，风险就会大大降低。模块“imdiag”是一个诊断模块，主要用于测试台运行。我们不希望它出现在任何生产安装中。八位字节组帧并不常见。通常，它需要在发件人处专门启用。如果用户不需要它，他们可以为最重要的模块关闭它。这将减轻漏洞。。 
 openEuler评分：
  8.1
 Vector：CVSS：3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
 受影响版本排查(受影响/不受影响)：
  1.openEuler-20.03-LTS-SP1(8.2006.0):受影响
2.openEuler-20.03-LTS-SP3(8.2006.0):受影响
3.openEuler-22.03-LTS(8.2110.0):受影响

修复是否涉及abi变化(是/否)：
  1.openEuler-20.03-LTS-SP1(8.2006.0):否
2.openEuler-20.03-LTS-SP3(8.2006.0):否
3.openEuler-22.03-LTS(8.2110.0):否

三、漏洞修复
安全公告链接：https://www.openeuler.org/zh/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1672

src-openEuler / rsyslog
关闭

内容风险标识

评论 (10)

src-openEuler / rsyslog关闭 .gitee-modal { width: 500px !important; }

内容风险标识

CVE-2022-24903

评论 (10)

搜索帮助

src-openEuler / rsyslog
关闭