В BGP-демоне Quagga исправлена критическая уязвимость

Разработчики пакета свободного программного обеспечения для маршрутизации Quagga выпустили обновление Quagga 1.2.3 с исправлением нескольких опасных уязвимостей, которые могут привести к отказу в обслуживании (DoS), раскрытию информации и удаленному выполнению кода. Проблемы затрагивают BGP-демон (bpgd) Quagga.

Одной из наиболее серьезных уязвимостей является CVE-2018-5379 - проблема двойного освобождения области памяти, связанная с обработкой определенных сообщений UPDATE, содержащих список кластеров или неизвестные атрибуты. уязвимость может привести к сбою bgpd и позволить удаленному злоумышленнику получить контроль над процессом и удаленно выполнить код.

Другая уязвимость CVE-2018-5381 может привести к бесконечной перезагрузке bgpd и отказу в обслуживании.

В Quagga 1.2.3 также исправлена уязвимость CVE-2018-5378, которая может привести к утечке конфиденциальных данных из процесса bgpd, а также вызвать отказ в обслуживании.

Quagga - пакет свободного программного обеспечения, поддерживающий протоколы динамической маршрутизации IP. Компьютер с установленным и сконфигурированным пакетом Quagga становится способен использовать множество различных протоколов динамической маршрутизации. В Quagga реализованы протоколы Open Shortest Path First (OSPF), Routing Information Protocol (RIP), Border Gateway Protocol (BGP) и Intermediate System to Intermediate System (IS-IS) для платформ на базе Unix, в частности Linux, Solaris, FreeBSD и NetBSD.