CVE-2022-24903

Rsyslog, günlük işleme için oldukça hızlı bir sistemdir. TCP syslog alımı için kullanılan modüller, oktet sayımlı çerçeveleme (octet-counted framing) kullanıldığında potansiyel bir yığın arabellek taşmasına (heap buffer overflow) neden olabilir. Bu durum, bir segfault veya başka bir işlev bozukluğu ile sonuçlanabilir. Anladığımız kadarıyla bu zafiyet uzaktan kod çalıştırma amacıyla kullanılamaz; ancak uzmanlar için hala düşük bir ihtimal olabilir. Hata, oktet sayısı okunurken meydana gelir. Maksimum oktet sayısı için bir kontrol bulunmasına rağmen, oktet sayısı maksimum değerin üzerinde olsa bile rakamlar bir yığın arabelleğine yazılmaya devam eder. Bu durum, bellek arabelleğinin aşılmasına neden olabilir. Bununla birlikte, rakam dizisi sona erdiğinde arabelleğe ek karakter eklenemez. Görüşümüze göre bu durum, uzaktan istismarları imkansız kılar veya en azından oldukça karmaşık hale getirir. Oktet sayımlı çerçeveleme, iki potansiyel çerçeveleme modundan biridir. Nispeten nadirdir ancak alıcılarda varsayılan olarak etkindir. `imtcp`, `imptcp`, `imgssapi` ve `imhttp` modülleri standart syslog mesaj alımı için kullanılır. Bunların doğrudan kamuya açık şekilde paylaşılmaması en iyi uygulamadır. Bu uygulama takip edildiğinde risk önemli ölçüde azalır. `imdiag` modülü, öncelikle test ortamları için tasarlanmış bir tanı modülüdür. Herhangi bir üretim kurulumunda bulunmasını beklemiyoruz. Oktet sayımlı çerçeveleme çok yaygın değildir. Genellikle göndericiler tarafında özel olarak etkinleştirilmesi gerekir. Kullanıcılar buna ihtiyaç duymuyorsa, en önemli modüller için bu özelliği kapatabilirler. Bu işlem zafiyeti hafifletecektir.