Podatności HDF5

HDF5 do wersji 2.2.0 zawiera podatność niekontrolowanej rekurencji w funkcji H5B__iterate_helper() w pliku src/H5B.c. Podczas iteracji drzewa B w wersji 1 funkcja nie sprawdza, czy poziom węzła potomnego odpowiada oczekiwanemu poziomowi, co pozwala na obejście sprawdzenia i spowodowanie nieograniczonej rekurencji, prowadzącej do wyczerpania stosu i awarii. Atakujący może wywołać to poprzez otwarcie spreparowanego pliku HDF5 i wywołanie H5Gget_info() lub H5Gget_num_objs() na grupie.

W HDF5 w wersji 1.10.1 występuje podatność na zapis poza granicami w funkcji H5G__ent_decode_vec w pliku H5Gcache.c w bibliotece libhdf5.a. Na przykład, użycie narzędzia h5dump może spowodować awarię lub inne nieokreślone skutki, gdy otworzy się spreparowany plik hdf5.

Biblioteka HDF5 w wersji 1.8.16 ma lukę, która pozwala na modyfikację wskaźnika pętli inicjalizującej tablicę, co może prowadzić do wskazywania poza granice tablicy. Wartość używana do alokacji przestrzeni pochodzi z pliku, co stwarza ryzyko manipulacji przez atakującego.

Biblioteka HDF5 w wersji 1.8.16 nie sprawdza, czy określone typy wiadomości obsługują dany znacznik, co prowadzi do rzutowania struktury na alternatywną strukturę i przypisywania wartości do pól, które nie są obsługiwane przez typ wiadomości. Może to skutkować wykonaniem kodu w kontekście biblioteki.

Podczas dekodowania danych z zestawu danych zakodowanego przy użyciu dekodowania H5Z_NBIT, biblioteka HDF5 w wersji 1.8.16 nie zapewnia, że precyzja mieści się w granicach rozmiaru, co prowadzi do możliwości wykonania dowolnego kodu.

W bibliotece HDF5 w wersji 1.8.16 występuje błąd polegający na braku sprawdzenia, czy liczba wymiarów tablicy odczytanej z pliku mieści się w granicach przydzielonej dla niej przestrzeni. Może to prowadzić do przepełnienia bufora na stercie, co potencjalnie umożliwia wykonanie dowolnego kodu.

W HDF5 do wersji 2.2.0 występuje przepełnienie bufora na stercie (heap-based buffer over-read) w funkcji H5Z__filter_scaleoffset() w pliku src/H5Zscaleoffset.c. Atakujący może spowodować odmowę usługi (awarię aplikacji) za pomocą spreparowanego pliku HDF5. Gdy zapisane minimalne bity są równe pełnej precyzji typu danych, dekoder kopiuje d_nelmts * size bajtów z skompresowanego fragmentu bez sprawdzania, czy fragment zawiera tyle bajtów.

Przepełnienie bufora na stercie w funkcji H5VM_array_fill() w pliku src/H5VM.c w bibliotece HDF5 przed wersją 2.2.0. Złośliwy plik HDF5 może spowodować awarię aplikacji, a potencjalnie także wykonanie dowolnego kodu, gdy odczytywane są nieprzydzielone fragmenty zbioru danych, a metadane są niespójne z rozmiarem bufora.

W HDF5 przed wersją 1.14.2 występuje podatność use-after-free w funkcji H5T__conv_f_f() w pliku src/H5Tconv.c. Podczas konwersji typu złożonego zawierającego elementy zmiennoprzecinkowe przy odczycie zbioru danych tymczasowy bufor przydzielony przez calloc() jest zwalniany, a następnie odczytywany w tej samej procedurze konwersji.

HDF5 przed wersją 2.3.0 zawiera podatność w funkcji H5Z__filter_fletcher32, która oblicza długość danych do sumy kontrolnej odejmując 4 bajty od rozmiaru bufora bez sprawdzenia, czy bufor ma co najmniej 4 bajty, co prowadzi do niedomiaru (underflow) typu size_t. Atakujący może spowodować odmowę usługi (masywne odczyty poza zakresem i awarię aplikacji) poprzez spreparowany plik HDF5 z filtrem Fletcher32 dla fragmentu mniejszego niż 4 bajty, wyzwalanego przez H5Dread, np. narzędziami h5ls lub h5dump.

HDF5 przed wersją 2.3.0 zawiera podatność w funkcjach H5Z__nbit_decompress_one_byte, H5Z__nbit_decompress_one_nooptype i H5Z__nbit_decompress_one_atomic, które przesuwają indeks odczytu w buforze skompresowanego fragmentu bez ograniczenia go do rzeczywistego rozmiaru bufora. Atakujący może spowodować odczyt poza zakresem sterty, a w ograniczonych przypadkach ujawnienie sąsiedniej pamięci sterty w wartościach dekompresowanych danych, poprzez spreparowany plik HDF5 z parametrami filtra N-Bit opisującymi więcej danych niż faktycznie zawiera skompresowany fragment, wyzwalanego przez H5Dread, np. narzędziami h5ls lub h5repack.

HDF5 przed wersją 2.3.0 zawiera podatność w funkcji H5Z__filter_nbit, która dereferencjonuje cd_values[0] do cd_values[4] bez sprawdzenia, czy cd_values nie jest NULL lub czy cd_nelmts jest co najmniej 5. Atakujący może spowodować odmowę usługi poprzez spreparowany plik HDF5, który przechowuje komunikat potoku filtra N-Bit z zerową liczbą wartości klienta, otwierany i odczytywany przez H5Dread, np. narzędziami h5ls lub h5repack.

Funkcja H5O__layout_decode w pliku H5Olayout.c w HDF5 do wersji 2.3.0 włącznie nie waliduje, czy przechowywana wymiarowość układu chunków dla zestawu danych chunked odpowiada rangowi dataspace, gdy otwierany jest istniejący zestaw danych, podczas gdy ta kontrola jest wykonywana tylko podczas tworzenia zestawu danych. Pozwala to atakującym na spowodowanie odmowy usługi (dzielenie przez zero i awaria aplikacji w H5S__hyper_iter_get_seq_list w src/H5Shyper.c) przez spreparowany plik HDF5 z niedopasowanymi rangami chunk/dataspace, otwierany i odczytywany przez H5Dopen2 i H5Dread, np. przez narzędzie h5repack.

Podatność na dereferencję pustego wskaźnika w funkcji H5Pget_fill_value w HDF5 przed wersją 2.3.0. Atakujący może spowodować odmowę usługi poprzez zestaw danych z flagą 'defined' i ujemnym rozmiarem pola.

Niebezpieczne wyłuskanie wskaźnika w funkcji render_bin_output w narzędziu h5dump w HDF5 przed wersją 2.3.0 umożliwia atakującym spowodowanie odmowy usługi przez zmienną długość łańcucha znaków z więcej niż jednym elementem zrzucanym w trybie binarnym, co psuje obliczenia kroku dla elementu i powoduje odczyt kolejnych elementów z nieprawidłowego przesunięcia i wyłuskanie jako wskaźnika.

W bibliotece HDF5 występuje podatność na dereferencję wskaźnika NULL. Przetworzenie spreparowanego pliku HDF5 zawierającego atrybut z nieprawidłowym polem typu o zmiennej długości może spowodować awarię aplikacji podczas odczytu atrybutu.

W bibliotece HDF5 odkryto podatność podwójnego zwolnienia pamięci. Przetworzenie spreparowanego pliku HDF5 z nadmiernie dużym polem rozmiaru fragmentu za pomocą narzędzia h5repack może spowodować przerwanie działania aplikacji z powodu podwójnego zwolnienia.

W bibliotece HDF5 do wersji 2.1.1 występuje przepełnienie bufora sterty w kodzie deserializacji listy indeksów SOHM. Przetworzenie spreparowanego pliku HDF5, w którym indeks listy komunikatów współdzielonych deklaruje liczbę komunikatów przekraczającą list_max, powoduje odczyty i zapisy poza zakresem sterty w funkcjach H5SM__cache_list_deserialize i H5SM__cache_list_verify_chksum, co prowadzi do awarii.

Podatność w bibliotece HDF5: wywołanie `H5Iget_name` na identyfikatorze grupy z parametrem rozmiaru równym 0 powoduje niedomiar (underflow) przy próbie umieszczenia znaku null w buforze. Może to prowadzić do nieoczekiwanego zachowania, jeśli przed buforem znajdują się ważne dane.

Biblioteka HDF5 jest podatna na odczyt poza zakresem, gdy plik jest celowo uszkodzony – rozmiar typu danych tablicy, liczba elementów i rozmiar elementu są niezgodne. Podatność występuje tylko w złośliwie zmodyfikowanych plikach, nie w normalnym użyciu.

HDF5 to oprogramowanie do zarządzania danymi. W wersji 1.14.1-2 i wcześniejszych atakujący, który może kontrolować plik h5 parsowany przez HDF5, może wywołać przepełnienie bufora sterty oparte na zapisie w metodzie H5T__ref_mem_setnull. Może to prowadzić do warunku odmowy usługi, a potencjalnie do dalszych problemów, takich jak zdalne wykonanie kodu, w zależności od praktycznej wykorzystywalności przepełnienia sterty w nowoczesnych systemach operacyjnych.

W bibliotece HDF5 w wersji 1.14.1-2 i wcześniejszych odkryto podatność polegającą na użyciu zwolnionej pamięci sterty (heap-use-after-free) w narzędziu pomocniczym h5dump. Atakujący może dostarczyć złośliwy plik h5, co prowadzi do odwołania do zwolnionego obiektu w wywołaniu memmove z funkcji H5T__conv_struct.

W HDF5 przed wersją 1.14.4-2 wykryto podatność polegającą na przepełnieniu sterty (heap buffer overflow) podczas zapisu, którą można wykorzystać poprzez kontrolowany plik `h5`. Atakujący może doprowadzić do odmowy usługi (DoS), a w sprzyjających warunkach potencjalnie do zdalnego wykonania kodu (RCE).