谷歌研究人員稱近日在Linux、FreeBSD、OpenBSD、NetBSD、macOS等操作系統(tǒng)甚至一些路由器固件中，發(fā)現(xiàn)一個(gè)通用軟件包工具內(nèi)存在至少3個(gè)可遠(yuǎn)程執(zhí)行惡意代碼的漏洞。

　　可威脅路由器系統(tǒng)安全的代碼執(zhí)行漏洞曝出

而這個(gè)通用軟件包工具是DNSMasq，其是一個(gè)可提供DNS緩存和DHCP服務(wù)功能、輕量且易配置的代碼庫(kù)。DNSMasq被廣泛應(yīng)用于Android、Ubuntu和其他Linux發(fā)行版系統(tǒng)上，同時(shí)也被應(yīng)用在路由器固件上。

在上周發(fā)現(xiàn)的Dnsmasq里存在的7個(gè)漏洞中，有3個(gè)是允許遠(yuǎn)程執(zhí)行惡意代碼的漏洞。以其中一個(gè)編號(hào)為CVE-2017-14493的漏洞為例，是針對(duì)DHCP功能的，基于堆棧的緩沖區(qū)的溢出漏洞。如果結(jié)合一個(gè)單獨(dú)的信息泄漏漏洞，攻擊者可以繞過地址空間布局隨機(jī)化（ASLR）的關(guān)鍵保護(hù)，進(jìn)而規(guī)避其他防御機(jī)制。

注：ASLR是為了防止攻擊者在內(nèi)存中能夠可靠地對(duì)跳轉(zhuǎn)到特定利用函數(shù)。

　　建議大家隨時(shí)關(guān)注系統(tǒng)更新

所幸谷歌安全研究人員表示，他們正與DNSMasq的維護(hù)人員保持聯(lián)系，以期在2.78版本上修補(bǔ)上述存在的漏洞。此外，針對(duì)該漏洞的Android安全更新將在未來幾周內(nèi)發(fā)布。不過，其他受影響系統(tǒng)尚未及時(shí)推出安全補(bǔ)丁，需持續(xù)關(guān)注。

另外6個(gè)漏洞的編碼分別為：cve-2017-14491，cve-2017-14492，cve-2017-14494，cve-2017-14495，cve-2017-14496和cve-2017-13704，建議大家隨時(shí)關(guān)注系統(tǒng)更新。