CVE-2023-42363

Ten kandydat CVE został odrzucony przez Red Hat Product Security, ponieważ nie jest to podatność bezpieczeństwa. Wewnętrzny TLS w BusyBox jest celowo minimalny i dokumentuje w FEATURE_WGET_HTTPS, że nie weryfikuje tożsamości peerów ani nie zapewnia pełnego bezpieczeństwa TLS; brak sprawdzania danych Finished jest zgodny z tym udokumentowanym projektem i nie przekracza granicy bezpieczeństwa uzasadniającej CVE.

W netstat w BusyBox do wersji 1.37.0 lokalni użytkownicy mogą uruchomić aplikację sieciową z argv[0] zawierającym sekwencję ucieczki terminala ANSI, co prowadzi do odmowy usługi (zablokowanie terminala) u ofiary korzystającej z netstat.

W BusyBox v.1.36.1 odkryto podatność use-after-free poprzez spreparowany wzorzec awk w funkcji copyvar w awk.c.

W BusyBox w wersji 1.36.1 występuje podatność use-after-free w funkcji evaluate w pliku awk.c. Atakujący może spowodować odmowę usługi za pomocą spreparowanego wzorca awk.

W funkcji add_match w libbb/lineedit.c w BusyBox do wersji 1.27.2, funkcja autouzupełniania tabulatora nie sanitizuje nazw plików, co może prowadzić do wykonania dowolnych sekwencji ucieczki w terminalu.

Podatność na przejście do katalogu w implementacji tar w BusyBox przed wersją 1.22.0 v5 umożliwia zdalnym atakującym wskazywanie na pliki znajdujące się poza bieżącym katalogiem roboczym za pomocą symlinków.

Przepełnienie całkowite w kliencie DHCP (udhcpc) w BusyBox przed wersją 1.25.0 umożliwia zdalnym atakującym spowodowanie awarii (denial of service) poprzez złośliwie skonstruowaną nazwę domeny zakodowaną zgodnie z RFC1035, co prowadzi do zapisu poza granicami sterty.

Funkcja recv_and_process_client_pkt w pliku networking/ntpd.c w busybox umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez sfałszowany pakiet NTP, co prowadzi do pętli komunikacyjnej.

Podatność w BusyBox dotyczy funkcji write_status_file() w narzędziu dpkg. Brak resetowania kursora pól między sekcjami pakietów prowadzi do odczytów poza zakresem oraz uszkodzenia pliku statusu podczas usuwania wielu pakietów.

Urządzenia BLU-IC2 i BLU-IC4 zawierają podatną wersję BusyBox 1.31.1, która posiada wiele znanych podatności bezpieczeństwa. Problem dotyczy wersji do 1.19.5 włącznie.