Squirrel Engine 曝漏洞，可导致攻击者入侵游戏和云服务

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

研究人员指出，Squirrel 程序语言中存在一个界外读漏洞，可被攻击者用于攻破沙箱限制，在 SquirrelVM 中执行任意代码，从而使恶意人员访问底层机器。

该漏洞的编号为CVE-2021-42556。当游戏库 Squirrel Engine 用于执行不可信代码时触发该漏洞，影响 Squirrel 分支 3.x 和 2.x 版本。该漏洞在2021年8月披露。

Squirrel 是一种开源的基于对象的程序语言，用于为视频游戏、物联网设备和分布式交易处理平台如 Enduro/X撰写脚本。

研究员在报告中指出，“在真实场景下，攻击者可将恶意 Squirrel 脚本嵌入社区地图中并通过可信的 Steam Workshop 进行分发。当服务器机主下载并安装该恶意地图时，Squirrel 脚本就被执行，逃逸其虚拟机并控制服务器机器。”

该缺陷和定义 Squirrel 类时“通过索引混淆造成的界外访问”有关，可被用于劫持程序的控制流并完全控制 Squirrel 虚拟机。

虽然该缺陷已在9月16日推出的一个代码提交中解决，但值得注意的是这些变更并未包含在新的稳定版本即2016年3月27日发布的官方版本 v3.1中。强烈建议依赖于 Squirrel 的项目维护人员从源代码进行重构，应用最新修复方案，抵御攻击。

---

推荐阅读

Squirrelmail 1.4.22出现远程代码执行漏洞

Node.js TLSWrap 实现中的释放后使用漏洞分析

下载量达数百万次的NodeJS 模块被曝代码注入漏洞

GitHub 在热门 Node.js changelog 开源库Standard Version中发现 RCE 漏洞

Apache 紧急修复已遭利用且补丁不完整的 HTTP Server 0day

开源的代理服务器HAProxy 易遭严重的 HTTP 请求走私攻击

原文链接

https://thehackernews.com/2021/10/squirrel-engine-bug-could-let-attackers.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~