![Common Weakness Enumeration (CWE)
➢ Código: CWE-787.
➢ É um catálogo de tipos prevalentes de fragilidades (imperfeições,
falhas, bugs e erros) de software e hardware com consequências em
segurança (vulnerabilidades) [1].
4](https://image.slidesharecdn.com/6-cwe-787-out-of-bounds-write-220530103246-dc6954a2/85/Vulnerabilidade-Out-of-bounds-Write-CWE-787-4-320.jpg)
![CWE TOP 25
➢ Top 25 - Ranking dos mais perigosos conforme dados da CVE (Common
Vulnerabilities and Exposures), NVD (National Vulnerability Database) e
CVSS (Common Vulnerability Scoring System) [2].
➢ Segunda colocada na CWE Top 25 de 2020.
➢ Primeira colocada na CWE Top 25 de 2020 com score de 65,93.
5](https://image.slidesharecdn.com/6-cwe-787-out-of-bounds-write-220530103246-dc6954a2/85/Vulnerabilidade-Out-of-bounds-Write-CWE-787-5-320.jpg)
![Exemplo (1) - Linguagem C
➢ O código a seguir tenta salvar quatro números de identificação diferentes em um vetor.
int id_sequence[3];
/* Populate the id array. */
id_sequence[0] = 123;
id_sequence[1] = 234;
id_sequence[2] = 345;
id_sequence[3] = 456;
➢ Como o vetor é definido apenas para conter três elementos, os índices válidos são de 0
a 2. Portanto, a atribuição a id_sequence[3] está fora dos limites.
6](https://image.slidesharecdn.com/6-cwe-787-out-of-bounds-write-220530103246-dc6954a2/85/Vulnerabilidade-Out-of-bounds-Write-CWE-787-6-320.jpg)
![Exemplo (2) - Tratamento de Hostname
➢ Este exemplo pega um endereço IP de um usuário, verifica se
ele está bem formado e, em seguida, procura o nome do host
e o copia em um buffer.
➢ Esta função aloca um buffer de 64 bytes para armazenar o
nome do host, porém não há garantia de que o nome do host
não seja maior que 64 bytes. Se um invasor especificar um
endereço que resolva para um nome de host maior, a função
poderá substituir dados confidenciais ou até mesmo liberar o
fluxo de controle para o invasor.
7
void host_lookup(char *user_supplied_addr){
struct hostent *hp;
in_addr_t *addr;
char hostname[64];
in_addr_t inet_addr(const char *cp);
/*routine that ensures
user_supplied_addr is in
the right format for
conversion */
validate_addr_form(user_supplied_addr);
addr = inet_addr(user_supplied_addr);
hp = gethostbyaddr( addr, sizeof(struct
in_addr), AF_INET);
strcpy(hostname, hp->h_name);
}](https://image.slidesharecdn.com/6-cwe-787-out-of-bounds-write-220530103246-dc6954a2/85/Vulnerabilidade-Out-of-bounds-Write-CWE-787-7-320.jpg)
![Exemplo (3)- Trim em String
➢ Função de utilitário usada para remover espaços em branco à
direita de uma cadeia de caracteres. A função copia a string
de entrada para uma string de caracteres local e usa uma
instrução while para remover o espaço em branco à direita.
➢ No entanto, esta função pode causar uma subscrição de
buffer se a cadeia de caracteres de entrada contiver todos os
espaços em branco. Em alguns sistemas, a instrução while
se moverá para trás além do início de uma cadeia de
caracteres e chamará a função isspace() em um endereço
fora dos limites do buffer.
8
char* trimTrailingWhitespace(char *strMessage, int
length) {
char *retMessage;
char *message =
malloc(sizeof(char)*(length+1));
// copy input string to a temporary string
char message[length+1];
int index;
for (index = 0; index < length; index++) {
message[index] = strMessage[index];
}
message[index] = '0';
// trim trailing whitespace
int len = index-1;
while (isspace(message[len])) {
message[len] = '0';
len--;
}
// return string without trailing whitespace
retMessage = message;
return retMessage;
}](https://image.slidesharecdn.com/6-cwe-787-out-of-bounds-write-220530103246-dc6954a2/85/Vulnerabilidade-Out-of-bounds-Write-CWE-787-8-320.jpg)
![➢ Método de debug de programação que examina o código sem executar o programa
[3].
➢ Muitas ferramentas automatizadas de análise estática modernas usam análise de
fluxo de dados comparando com regras de padrões de boas práticas de
desenvolvimento seguro.
➢ Não leva em consideração possíveis inputs maliciosos em tempo de execução.
Métodos de Detecção
Análise Estática Automatizada
16](https://image.slidesharecdn.com/6-cwe-787-out-of-bounds-write-220530103246-dc6954a2/85/Vulnerabilidade-Out-of-bounds-Write-CWE-787-16-320.jpg)
![➢ Pode ser detectada usando ferramentas e técnicas dinâmicas que interagem com o
software usando grandes conjuntos de testes com muitas entradas diversas, como
testes de fuzz (fuzzing) [4], testes de robustez e injeção de falhas.
➢ A operação do software pode ficar lenta, mas não deve
ficar instável, travar ou gerar resultados incorretos.
Métodos de Detecção
Análise Dinâmica Automatizada
17](https://image.slidesharecdn.com/6-cwe-787-out-of-bounds-write-220530103246-dc6954a2/85/Vulnerabilidade-Out-of-bounds-Write-CWE-787-17-320.jpg)
![➢ Buffer underflow [5] de um valor de tamanho pequeno com um buffer grande causa uma
inconsistência no comprimento do parâmetro (CWE-130).
➢ O estouro de buffer no redlight.sys do BufferZone 2.1 e 2.5 permite que os usuários locais causem
travamento por DOS e, possivelmente, executem código informando um valor tamanho de buffer
menor para o código do manipulador contendo um buffer maior.
➢ Justamente no BufferZone (bufferzonesecurity.com), um sistema de segurança criado para proteger
sessões de browsers e endpoints de APIs.
Casos Conhecidos
CVE-2007-4580
22](https://image.slidesharecdn.com/6-cwe-787-out-of-bounds-write-220530103246-dc6954a2/85/Vulnerabilidade-Out-of-bounds-Write-CWE-787-22-320.jpg)
Vulnerabilidade Out-of-bounds-Write (CWE-787)
- 1. CWE-787 Out-of-bounds Write Guilherme de Oliveira Dutra go.dutra@unesp.br - godutra@gmail.com Disciplina de Segurança Cibernética Pós-graduação PPGCC/UNESP Prof. Dr. Adriano Mauro Cansian
- 2. O que é Out-of-bounds Write ➢ É a gravação de dados após o final ou antes do início do buffer de memória. ➢ Ocorre devido a falhas na concepção e no desenvolvimento do software. ➢ É prevalente em softwares implementados em C, C++ e, também encontrado, em Assembly. ➢ Pertence à categoria de Erros de Buffer de Memória. 2
- 3. Consequências ➢ Dados corrompidos ➢ Falha na execução ➢ Execução de código não-autorizado ➢ Indisponibilidade do serviço (DoS) ➢ Encerramento na execução da aplicação ➢ Reinício da aplicação 3
- 4. Common Weakness Enumeration (CWE) ➢ Código: CWE-787. ➢ É um catálogo de tipos prevalentes de fragilidades (imperfeições, falhas, bugs e erros) de software e hardware com consequências em segurança (vulnerabilidades) [1]. 4
- 5. CWE TOP 25 ➢ Top 25 - Ranking dos mais perigosos conforme dados da CVE (Common Vulnerabilities and Exposures), NVD (National Vulnerability Database) e CVSS (Common Vulnerability Scoring System) [2]. ➢ Segunda colocada na CWE Top 25 de 2020. ➢ Primeira colocada na CWE Top 25 de 2020 com score de 65,93. 5
- 6. Exemplo (1) - Linguagem C ➢ O código a seguir tenta salvar quatro números de identificação diferentes em um vetor. int id_sequence[3]; /* Populate the id array. */ id_sequence[0] = 123; id_sequence[1] = 234; id_sequence[2] = 345; id_sequence[3] = 456; ➢ Como o vetor é definido apenas para conter três elementos, os índices válidos são de 0 a 2. Portanto, a atribuição a id_sequence[3] está fora dos limites. 6
- 7. Exemplo (2) - Tratamento de Hostname ➢ Este exemplo pega um endereço IP de um usuário, verifica se ele está bem formado e, em seguida, procura o nome do host e o copia em um buffer. ➢ Esta função aloca um buffer de 64 bytes para armazenar o nome do host, porém não há garantia de que o nome do host não seja maior que 64 bytes. Se um invasor especificar um endereço que resolva para um nome de host maior, a função poderá substituir dados confidenciais ou até mesmo liberar o fluxo de controle para o invasor. 7 void host_lookup(char *user_supplied_addr){ struct hostent *hp; in_addr_t *addr; char hostname[64]; in_addr_t inet_addr(const char *cp); /*routine that ensures user_supplied_addr is in the right format for conversion */ validate_addr_form(user_supplied_addr); addr = inet_addr(user_supplied_addr); hp = gethostbyaddr( addr, sizeof(struct in_addr), AF_INET); strcpy(hostname, hp->h_name); }
- 8. Exemplo (3)- Trim em String ➢ Função de utilitário usada para remover espaços em branco à direita de uma cadeia de caracteres. A função copia a string de entrada para uma string de caracteres local e usa uma instrução while para remover o espaço em branco à direita. ➢ No entanto, esta função pode causar uma subscrição de buffer se a cadeia de caracteres de entrada contiver todos os espaços em branco. Em alguns sistemas, a instrução while se moverá para trás além do início de uma cadeia de caracteres e chamará a função isspace() em um endereço fora dos limites do buffer. 8 char* trimTrailingWhitespace(char *strMessage, int length) { char *retMessage; char *message = malloc(sizeof(char)*(length+1)); // copy input string to a temporary string char message[length+1]; int index; for (index = 0; index < length; index++) { message[index] = strMessage[index]; } message[index] = '0'; // trim trailing whitespace int len = index-1; while (isspace(message[len])) { message[len] = '0'; len--; } // return string without trailing whitespace retMessage = message; return retMessage; }
- 9. ➢ Requisitos ➢ Arquitetura e Design ➢ Implementação ➢ Compilação ➢ Operação Métodos de Prevenção Fases 9
- 10. ➢ Use uma linguagem que não permita que essa vulnerabilidade ocorra ou forneça construções que tornem essa vulnerabilidade mais fácil de evitar. ➢ Há muitas linguagens que executam seu próprio gerenciamento de memória, como Java e Go, não estão sujeitas a estouros de buffer. Outras linguagens, como Ada e C# oferecem mas pode ser desligada. Métodos de Prevenção. Fase: Requisitos. Escolha da Linguagem 10
- 11. ➢ Não devem permitir que essa vulnerabilidade ocorra ou forneça padrões que tornem essa vulnerabilidade fácil de se evitar. ➢ Exemplos incluem as bibliotecas SafeStr e Strsafe.h. Que fornecem versões mais seguras de funções de manipulação de strings. ➢ Contudo, muitos estouros de buffer não estão relacionados a strings. Métodos de Prevenção. Fase: Arquitetura e Design. Utilização de Bibliotecas ou Frameworks 11
- 12. ➢ Execute ou compile o software usando extensões que fornecem automaticamente mecanismos de proteção contra estouros de buffer. ➢ Certos compiladores fornecem mecanismos automáticos de detecção de estouro de buffer que são incorporados ao código compilado, como o Microsoft Visual Studio /GS, Fedora/Red Hat FORTIFY_SOURCE GCC, StackGuard e ProPolice. ➢ Contudo, esses mecanismos só podem detectar certos tipos de estouros. Métodos de Prevenção. Fase: Compilação. Build Hardening 12
- 13. ➢ Regras ao alocar e gerenciar a memória de um aplicativo: ■ Verifique novamente (double check) se o buffer é do tamanho especificado. ■ Ao usar funções que requerem a identificação de um número de bytes, como strncpy(), esteja ciente de que, se o tamanho do buffer de destino for igual ao tamanho do buffer de origem, a string não pode ser terminada por nulo (NULL). ■ Verifique os limites do buffer se estiver acessando o buffer em um loop e certifique-se de que não haja perigo de escrever além do espaço alocado. ■ Se necessário, reduza todas as strings de entrada ao comprimento definido antes de passá-las para funções de cópia e concatenação. Métodos de Prevenção. Fase: Implementação. Regras de Conformidade. 13
- 14. ➢ Execute ou compile o software usando extensões que distribuam aleatoriamente as posições do executável e das bibliotecas de um programa na memória. ➢ Pode impedir que um invasor chegue de forma confiável no código explorável. ➢ Contudo, ainda pode causar uma indisponibilidade do serviço (DoS), já que a resposta típica é sair do aplicativo. Métodos de Prevenção. Fase: Operação. Dificultação de Leitura do Ambiente. 14
- 15. ➢ Substitua as funções de cópia por funções análogas que suportam argumentos de limitação de comprimento, como strcpy por strncpy. Crie-os se não estiverem disponíveis. ➢ Observação: essa abordagem ainda é suscetível a erros de cálculo, incluindo problemas de cálculo incorreto de comprimentos de buffer (CWE-131). Métodos de Prevenção. Fase: Implementação. Funções com Argumentos de Limites. 15
- 16. ➢ Método de debug de programação que examina o código sem executar o programa [3]. ➢ Muitas ferramentas automatizadas de análise estática modernas usam análise de fluxo de dados comparando com regras de padrões de boas práticas de desenvolvimento seguro. ➢ Não leva em consideração possíveis inputs maliciosos em tempo de execução. Métodos de Detecção Análise Estática Automatizada 16
- 17. ➢ Pode ser detectada usando ferramentas e técnicas dinâmicas que interagem com o software usando grandes conjuntos de testes com muitas entradas diversas, como testes de fuzz (fuzzing) [4], testes de robustez e injeção de falhas. ➢ A operação do software pode ficar lenta, mas não deve ficar instável, travar ou gerar resultados incorretos. Métodos de Detecção Análise Dinâmica Automatizada 17
- 18. ➢ Implementação de Bluetooth para celular que não define corretamente o limite (offset) ao calcular o comprimento do pacote (CWE-682), conduzindo a um “out-of-bounds write”. ➢ Na função “reassemble_and_dispatch” de “packet_fragmenter.cc”, é possível escrever fora dos limites devido a um cálculo incorreto dos limites. Isso pode levar à execução remota de código por Bluetooth sem a necessidade de privilégios de execução adicionais. ➢ Produto: Android Versões: Android-8.0 Android-8.1 Android-9 Android-10. Casos Conhecidos CVE-2020-0022 18
- 19. ➢ São Inputs escritos deliberadamente para causarem acessos a objetos não inicializados ou excluídos anteriormente, levando ao estouro de memória. ➢ Ocorre no Microsoft Internet Explorer 8 para Windows XP SP2 e SP3; 8 para o Server 2003 SP2; 8 para Vista Gold, SP1 e SP2; e 8 para Server 2008 SP2. ➢ Não manipulam corretamente objetos na memória, o que permite a invasores remotos executarem código malicioso, levando ao estouro de memória conhecido como "Vulnerabilidade de Estouro de memória de objetos HTML". Casos Conhecidos CVE-2009-1532 19
- 20. ➢ O valor de retorno “ -1” em uma chamada de função foi pensado para indicar um erro, mas em um kernel do Linux foi usado como índice de um vetor. ➢ O subsistema eCryptfs no kernel Linux antes de 2.6.28.1 permite que usuários locais causem uma interrupção de serviço (DOS), ou possivelmente tenham outro impacto não especificado, por meio de uma chamada readlink que resulta em um erro, levando ao uso do valor “-1” como índice de um vetor. Casos Conhecidos CVE-2009-0269 20
- 21. ➢ A não verificação do comprimento do conteúdo do desafio (challenge) usando no SSLv2 leva a buffer underflow, no qual o software escreve no início do buffer. ➢ O buffer underflow no ssldump 0.9b2 e anteriores permite que invasores remotos causem um DOS por meio de um valor de desafio SSLv2 manipulado. Casos Conhecidos CVE-2002-2227 21
- 22. ➢ Buffer underflow [5] de um valor de tamanho pequeno com um buffer grande causa uma inconsistência no comprimento do parâmetro (CWE-130). ➢ O estouro de buffer no redlight.sys do BufferZone 2.1 e 2.5 permite que os usuários locais causem travamento por DOS e, possivelmente, executem código informando um valor tamanho de buffer menor para o código do manipulador contendo um buffer maior. ➢ Justamente no BufferZone (bufferzonesecurity.com), um sistema de segurança criado para proteger sessões de browsers e endpoints de APIs. Casos Conhecidos CVE-2007-4580 22
- 23. ➢ Um erro de conversão de inteiro com sinal para um sem sinal (CWE-195) com comparação de sinais, conduzindo a um estouro de buffer (heap overflow) (CWE-122). ➢ Presente no componente de rede no Apple Mac OS X 10.4 a 10.4.10, permite que usuários executem código por meio de uma mensagem AppleTalk contendo um valor negativo, que satisfaz uma comparação de sinais durante a alocação de mbuf, o que é posteriormente interpretado como um valor sem sinal, que aciona um estouro de buffer. Casos Conhecidos CVE-2007-4268 23
- 24. ➢ Estou de buffer de memória na pilha (Heap-based buffer overflow) no media player SCMPX 1.5.1 usando uma entrada extensa na playlist. ➢ O estouro de buffer no SCMPX 1.5.1 permite que invasores remotos causem um DOS por travamento do aplicativo ou executem código por meio de uma longa string em um arquivo de lista de reprodução .m3u. Casos Conhecidos CVE-2009-2403 24
- 25. ➢ Uma otimização realizada por compilador, a CWE-733, modificou o código criado pelo desenvolvedor para detectar falhas de “integer overflow” (CWE-190), o que permitiu “out-of-bounds write”. ➢ O Evince 3.26.0, um visualizador de documentos em formato PDF , é afetado pelo estouro de buffer. O impacto é um Deny Of Service e uma possível execução de código. O componente é o backend/tiff/tiff-document.c. ➢ O gatilho ocorre quando se abre um PDF infectado. O mecanismo é acionado na renderização de imagens TIFF . Casos Conhecidos CVE-2019-1010006 25
- 26. ➢ CVE-2009-2403 - https://www.exploit-db.com/search?cve=2009-2403 ➢ CVE-2009-2550 - https://www.exploit-db.com/search?cve=2009-2550 ➢ CVE-2018-12115 - https://security.snyk.io/vuln/SNYK-DEBIAN11-NODEJS-518045 ➢ CVE-2021-37129 - - https://www.huawei.com/br/psirt/security-advisories/2021/huawei-sa-20211020-01-o utofwrite-en Exploit Database Explorando na Prática
- 27. A linguagem C é utilizada por entregar um excelente desempenho, possuir compiladores para todos os Sistemas Operacionais e ser de fácil aprendizado e implementação. Contudo, é importante ter cuidados redobrados para evitar o ataque mais visado dos últimos anos, o CWE-787 Out-of-Bounds Write. Evidentemente, essa vulnerabilidade é muito explorada pois a imensa maioria dos principais softwares disponíveis atualmente são desenvolvidos em C/C++. Mas, conforme apresentado, há diversos métodos preventivos, de detecção e correção que ajudam a mitigar ameaças causadas por esta vulnerabilidade. Conclusão 27
- 28. 1. “CWE - About - CWE Overview.” Common Weakness Enumeration, 13 March 2021, https://cwe.mitre.org/about/index.html. Accessed 23 May 2022. 2. “CWE - 2021 CWE Top 25 Most Dangerous Software Weaknesses.” Common Weakness Enumeration, 26 July 2021, https://cwe.mitre.org/top25/archive/2021/2021_cwe_top25.html. Accessed 23 May 2022. 3. Gillis, Alexander S. “What is Static Analysis (Static Code Analysis)?” TechTarget, https://www.techtarget.com/whatis/definition/static-analysis-static-code-analysis. Accessed 24 May 2022. 4. “What Is Fuzz Testing and How Does It Work?” Synopsys, https://www.synopsys.com/glossary/what-is-fuzz-testing.html. Accessed 25 May 2022. 5. “Buffer underrun – Wikipédia, a enciclopédia livre.” Wikipédia, https://pt.wikipedia.org/wiki/Buffer_underrun. Accessed 25 May 2022 6. “CWE - CWE-787: Out-of-bounds Write (4.7).” Common Weakness Enumeration, https://cwe.mitre.org/data/definitions/787.html. Accessed 23 May 2022. 7. Aleph One. “stack based buffer overflow vulnerability.” Phrack Magazine, 8 November 1996, http://phrack.org/issues/49/14.html. Accessed 26 May 2022. Referências 28