Interpretación de clasificaciones CVE: Desbordamiento de búfer frente a denegación de servicio frente a ejecución remota de código (RCE)

1

Si un CVE enumera una vulnerabilidad de desbordamiento de búfer, pero no una ejecución remota de código, debería interpretarlo como:

  1. Esta vulnerabilidad no ha sido confirmada para exponer RCE, o
  2. Se confirmó que esta vulnerabilidad no expone RCE, o
  3. Alguien (¿quién?) piensa que probablemente no exponga a RCE.

¿O algo más? ¿Es esta información generalmente confiable?

Editar : confirmar una vulnerabilidad de RCE después del descubrimiento inicial puede ser muy difícil y llevar mucho tiempo. Me imagino que los investigadores a veces informan fallas de segmentación sin confirmar primero la extensión de la exposición, lo que me llevó a esta pregunta.

    
pregunta jtpereyda 07.12.2016 - 22:14
fuente

1 respuesta

1

Debería interpretarlo como tal, una entrada no confiable puede escribir en la sección en la memoria que no debe escribir porque la aplicación no puede verificar su tamaño.

Creo que estás en la mentalidad de siempre categorizar RCE como extensión del desbordamiento de búfer cuando podrían tratarse de problemas completamente diferentes. Tomemos, por ejemplo, RCE debido a la inclusión de archivos remotos, o fallas en aplicaciones web que utilizan eval en lenguajes de scripting o toman información no confiable para ejecutar un comando del sistema operativo. Estos son RCE pero no necesariamente BOF.

Supongo que lo que digo es que un desbordamiento de búfer puede tratarse como su propia categoría que describe qué es una vulnerabilidad y cómo ocurre. Potencialmente podría extenderse a RCE o DoS, pero el desbordamiento es bastante perfecto para entenderlo.

Cuando ve una vulnerabilidad de desbordamiento, siempre puede verificar el código de vulnerabilidad público lanzado asociado y leer más sobre él para ver si hay DoS o RCE. La mayoría (si no todos) los BOF tienen un mínimo de DoS. Además, es posible leer que un desbordamiento lleva a RCE, pero no se puede encontrar ningún exploit público. Esto es común, especialmente en software que es propietario. Esto no significa que no esté confirmado, solo que el investigador (s) nunca se dio a conocer al público y puede ser parte de herramientas de seguridad de propiedad exclusiva.

    
respondido por el Link 05.01.2017 - 03:53
fuente

Lea otras preguntas en las etiquetas