CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer（没能将内存操作限制在边界范围内）

CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer（没能将内存操作限制在边界范围内）

 

描述

软件在内存缓冲区上执行操作，但它可以读取或写入缓冲区预期边界之外的内存位置。

扩展描述

某些语言允许直接寻址内存位置，并且不会自动确保这些位置对正在引用的内存缓冲区有效。这可能导致同其它变量、数据结构或内部程序数据相关联的内存读写操作被执行。

因此，攻击者可能能够执行任意代码、更改预期的控制流、读取敏感信息或导致系统崩溃。

关联视图

与“研究层面”视图(CWE-1000)相关

同“已发布弱点简图”（CWE-1003）视图相关

与“开发层面”视图(CWE-699)相关

同“七种致命错误” (CWE-700)视图相关

引入模式

应用平台

语言

C (经常出现)

C++ (经常出现)

Class: Assembly (出现的可能性不确定)

后果

 

被利用的可能性:

高

示例

例1

此示例从用户获取IP地址，验证其格式是否正确，然后查找主机名并将其复制到缓冲区中。

(问题代码)

Example Language: C 

void host_lookup(char *user_supplied_addr){

struct hostent *hp;
in_addr_t *addr;
char hostname[64];
in_addr_t inet_addr(const char *cp);

/*routine that ensures user_supplied_addr is in the right format for conversion */

validate_addr_form(user_supplied_addr);
addr = inet_addr(user_supplied_addr);
hp = gethostbyaddr( addr, sizeof(struct in_addr), AF_INET);
strcpy(hostname, hp->h_name);

}

此函数分配一个64字节的缓冲区来存储主机名，但是不能保证主机名不会大于64字节。如果攻击者指定的地址解析为非常大的主机名，那么我们可能会覆盖敏感数据，甚至将控制流放弃给攻击者。

请注意，此示例还包含一个未检差的返回值（CWE-252），它可能导致空指针间接引用（CWE-476）。

例2

此示例将编码过程应用于输入字符串，并将其存储到缓冲区中

(问题代码)

Example Language: C 

char * copy_input(char *user_supplied_string){

int i, dst_index;
char *dst_buf = (char*)malloc(4*sizeof(char) * MAX_SIZE);
if ( MAX_SIZE <= strlen(user_supplied_string) ){

die("user string too long, die evil hacker!");

}
dst_index = 0;
for ( i = 0; i < strlen(user_supplied_string); i++ ){

if( '&' == user_supplied_string[i] ){

dst_buf[dst_index++] = '&';
dst_buf[dst_index++] = 'a';
dst_buf[dst_index++] = 'm';
dst_buf[dst_index++] = 'p';
dst_buf[dst_index++] = ';';

}
else if ('<' == user_supplied_string[i] ){

/* encode to &lt; */

}
else dst_buf[dst_index++] = user_supplied_string[i];

}
return dst_buf;

}

程序员试图对用户控制的字符串中的符号和字符进行编码，但是在应用编码过程之前，会验证字符串的长度。此外，程序员假定编码扩展只将给定字符扩展4倍，而‘&’字符的编码长度却扩展5倍。因此，当编码过程扩展字符串时，如果攻击者提供一个包含多个‘&’字符的字符串，则可能溢出目标缓冲区。

例3

下面的示例要求用户在数组中输入偏移量以选择项。

(问题代码)

Example Language: C 

int main (int argc, char **argv) {

char *items[] = {"boat", "car", "truck", "train"};
int index = GetUntrustedOffset();
printf("You selected %s\n", items[index-1]);

}

程序员允许用户在列表中指定要选择的元素，但是攻击者可以提供越界偏移量，从而导致缓冲区越界读取（CWE-126）。

例4

在下面的代码中，该方法从特定数组索引位置的数组中检索一个值，该值作为该方法的输入参数给定。

(问题代码)

Example Language: C 

int getValueFromArray(int *array, int len, int index) {

int value;

// check that the array index is less than the maximum

// length of the array
if (index < len) {

// get the value at the specified index of the array
value = array[index];

}
// if array index is invalid then output error message

// and return value indicating error
else {

printf("Value is: %d\n", array[index]);
value = -1;

}

return value;

}

但是，此方法只验证给定的数组索引是否小于数组的最大长度，但不检查最小值（CWE-839）。这将允许接受负值作为输入数组索引，这将导致缓冲区下界之下读取（CWE-125），并允许访问敏感内存。应检查输入数组索引，以验证是否在数组所需的最大和最小范围内（CWE-129）。在这个例子中，if语句应该修改为包含一个最小范围检查，如下所示。

(正确代码)

Example Language: C 

...

// check that the array index is within the correct

// range of values for the array
if (index >= 0 && index < len) {

...

例5

Windows提供了对多字节字符串执行各种操作的MBS函数系列。当向这些函数传递格式不正确的多字节字符串（例如包含有效前导字节的字符串，后跟一个空字节）时，它们可以读或写超过字符串缓冲区的结尾，从而导致缓冲区溢出。以下所有功能都会造成缓冲区溢出的风险：_mbsinc_mbsdec_mbsncat_mbsncpy_mbsnextc_mbsnset_mbsrev_mbsset_mbsstr_mbstok_mbccpy_mbslen

应对措施

种属

 

说明

应用平台

在没有内存管理支持的任何编程语言中，都有可能尝试在内存缓冲区边界之外进行操作，但结果会因语言、平台和芯片架构的不同而大不相同。