聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
研究人员指出,Squirrel 程序语言中存在一个界外读漏洞,可被攻击者用于攻破沙箱限制,在 SquirrelVM 中执行任意代码,从而使恶意人员访问底层机器。
该漏洞的编号为CVE-2021-42556。当游戏库 Squirrel Engine 用于执行不可信代码时触发该漏洞,影响 Squirrel 分支 3.x 和 2.x 版本。该漏洞在2021年8月披露。
Squirrel 是一种开源的基于对象的程序语言,用于为视频游戏、物联网设备和分布式交易处理平台如 Enduro/X撰写脚本。
研究员在报告中指出,“在真实场景下,攻击者可将恶意 Squirrel 脚本嵌入社区地图中并通过可信的 Steam Workshop 进行分发。当服务器机主下载并安装该恶意地图时,Squirrel 脚本就被执行,逃逸其虚拟机并控制服务器机器。”
该缺陷和定义 Squirrel 类时“通过索引混淆造成的界外访问”有关,可被用于劫持程序的控制流并完全控制 Squirrel 虚拟机。
虽然该缺陷已在9月16日推出的一个代码提交中解决,但值得注意的是这些变更并未包含在新的稳定版本即2016年3月27日发布的官方版本 v3.1中。强烈建议依赖于 Squirrel 的项目维护人员从源代码进行重构,应用最新修复方案,抵御攻击。
推荐阅读
GitHub 在热门 Node.js changelog 开源库Standard Version中发现 RCE 漏洞
Apache 紧急修复已遭利用且补丁不完整的 HTTP Server 0day
开源的代理服务器HAProxy 易遭严重的 HTTP 请求走私攻击
原文链接
https://thehackernews.com/2021/10/squirrel-engine-bug-could-let-attackers.html
题图:Pixabay License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~