|
 |
9a6c41 |
953926 - snmptrapd crash "buffer overflow detected" at fortify_fail.c
|
|
|
9a6c41 |
|
|
|
9a6c41 |
commit 40938a62619590b4ea071ae85baa2f42a0b7fcb2
|
|
|
9a6c41 |
Author: Jan Safranek <jsafranek@users.sourceforge.net>
|
|
|
9a6c41 |
Date: Mon Apr 22 15:00:00 2013 +0200
|
|
|
9a6c41 |
|
|
|
9a6c41 |
Check if 'asn_parse_* ' actually succeeded.
|
|
|
9a6c41 |
|
|
|
9a6c41 |
If not, discard the packet instead of using wrong data.
|
|
|
9a6c41 |
|
|
|
9a6c41 |
diff --git a/snmplib/snmp_api.c b/snmplib/snmp_api.c
|
|
|
9a6c41 |
index e5c45d9..0842842 100644
|
|
|
9a6c41 |
--- a/snmplib/snmp_api.c
|
|
|
9a6c41 |
+++ b/snmplib/snmp_api.c
|
|
|
9a6c41 |
@@ -4709,9 +4709,11 @@ snmp_pdu_parse(netsnmp_pdu *pdu, u_char * data, size_t * length)
|
|
|
9a6c41 |
case ASN_INTEGER:
|
|
|
9a6c41 |
vp->val.integer = (long *) vp->buf;
|
|
|
9a6c41 |
vp->val_len = sizeof(long);
|
|
|
9a6c41 |
- asn_parse_int(var_val, &len, &vp->type,
|
|
|
9a6c41 |
+ data = asn_parse_int(var_val, &len, &vp->type,
|
|
|
9a6c41 |
(long *) vp->val.integer,
|
|
|
9a6c41 |
sizeof(*vp->val.integer));
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
break;
|
|
|
9a6c41 |
case ASN_COUNTER:
|
|
|
9a6c41 |
case ASN_GAUGE:
|
|
|
9a6c41 |
@@ -4719,9 +4721,11 @@ snmp_pdu_parse(netsnmp_pdu *pdu, u_char * data, size_t * length)
|
|
|
9a6c41 |
case ASN_UINTEGER:
|
|
|
9a6c41 |
vp->val.integer = (long *) vp->buf;
|
|
|
9a6c41 |
vp->val_len = sizeof(u_long);
|
|
|
9a6c41 |
- asn_parse_unsigned_int(var_val, &len, &vp->type,
|
|
|
9a6c41 |
+ data = asn_parse_unsigned_int(var_val, &len, &vp->type,
|
|
|
9a6c41 |
(u_long *) vp->val.integer,
|
|
|
9a6c41 |
vp->val_len);
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
break;
|
|
|
9a6c41 |
#ifdef NETSNMP_WITH_OPAQUE_SPECIAL_TYPES
|
|
|
9a6c41 |
case ASN_OPAQUE_COUNTER64:
|
|
|
9a6c41 |
@@ -4730,34 +4734,45 @@ snmp_pdu_parse(netsnmp_pdu *pdu, u_char * data, size_t * length)
|
|
|
9a6c41 |
case ASN_COUNTER64:
|
|
|
9a6c41 |
vp->val.counter64 = (struct counter64 *) vp->buf;
|
|
|
9a6c41 |
vp->val_len = sizeof(struct counter64);
|
|
|
9a6c41 |
- asn_parse_unsigned_int64(var_val, &len, &vp->type,
|
|
|
9a6c41 |
+ data = asn_parse_unsigned_int64(var_val, &len, &vp->type,
|
|
|
9a6c41 |
(struct counter64 *) vp->val.
|
|
|
9a6c41 |
counter64, vp->val_len);
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
break;
|
|
|
9a6c41 |
#ifdef NETSNMP_WITH_OPAQUE_SPECIAL_TYPES
|
|
|
9a6c41 |
case ASN_OPAQUE_FLOAT:
|
|
|
9a6c41 |
vp->val.floatVal = (float *) vp->buf;
|
|
|
9a6c41 |
vp->val_len = sizeof(float);
|
|
|
9a6c41 |
- asn_parse_float(var_val, &len, &vp->type,
|
|
|
9a6c41 |
+ data = asn_parse_float(var_val, &len, &vp->type,
|
|
|
9a6c41 |
vp->val.floatVal, vp->val_len);
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
break;
|
|
|
9a6c41 |
case ASN_OPAQUE_DOUBLE:
|
|
|
9a6c41 |
vp->val.doubleVal = (double *) vp->buf;
|
|
|
9a6c41 |
vp->val_len = sizeof(double);
|
|
|
9a6c41 |
- asn_parse_double(var_val, &len, &vp->type,
|
|
|
9a6c41 |
+ data = asn_parse_double(var_val, &len, &vp->type,
|
|
|
9a6c41 |
vp->val.doubleVal, vp->val_len);
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
break;
|
|
|
9a6c41 |
case ASN_OPAQUE_I64:
|
|
|
9a6c41 |
vp->val.counter64 = (struct counter64 *) vp->buf;
|
|
|
9a6c41 |
vp->val_len = sizeof(struct counter64);
|
|
|
9a6c41 |
- asn_parse_signed_int64(var_val, &len, &vp->type,
|
|
|
9a6c41 |
+ data = asn_parse_signed_int64(var_val, &len, &vp->type,
|
|
|
9a6c41 |
(struct counter64 *) vp->val.counter64,
|
|
|
9a6c41 |
sizeof(*vp->val.counter64));
|
|
|
9a6c41 |
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
break;
|
|
|
9a6c41 |
#endif /* NETSNMP_WITH_OPAQUE_SPECIAL_TYPES */
|
|
|
9a6c41 |
- case ASN_OCTET_STR:
|
|
|
9a6c41 |
case ASN_IPADDRESS:
|
|
|
9a6c41 |
+ if (vp->val_len != 4)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
+ /* fallthrough */
|
|
|
9a6c41 |
+ case ASN_OCTET_STR:
|
|
|
9a6c41 |
case ASN_OPAQUE:
|
|
|
9a6c41 |
case ASN_NSAP:
|
|
|
9a6c41 |
if (vp->val_len < sizeof(vp->buf)) {
|
|
|
9a6c41 |
@@ -4768,12 +4783,16 @@ snmp_pdu_parse(netsnmp_pdu *pdu, u_char * data, size_t * length)
|
|
|
9a6c41 |
if (vp->val.string == NULL) {
|
|
|
9a6c41 |
return -1;
|
|
|
9a6c41 |
}
|
|
|
9a6c41 |
- asn_parse_string(var_val, &len, &vp->type, vp->val.string,
|
|
|
9a6c41 |
+ data = asn_parse_string(var_val, &len, &vp->type, vp->val.string,
|
|
|
9a6c41 |
&vp->val_len);
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
break;
|
|
|
9a6c41 |
case ASN_OBJECT_ID:
|
|
|
9a6c41 |
vp->val_len = MAX_OID_LEN;
|
|
|
9a6c41 |
- asn_parse_objid(var_val, &len, &vp->type, objid, &vp->val_len);
|
|
|
9a6c41 |
+ data = asn_parse_objid(var_val, &len, &vp->type, objid, &vp->val_len);
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
vp->val_len *= sizeof(oid);
|
|
|
9a6c41 |
vp->val.objid = (oid *) malloc(vp->val_len);
|
|
|
9a6c41 |
if (vp->val.objid == NULL) {
|
|
|
9a6c41 |
@@ -4791,8 +4810,10 @@ snmp_pdu_parse(netsnmp_pdu *pdu, u_char * data, size_t * length)
|
|
|
9a6c41 |
if (vp->val.bitstring == NULL) {
|
|
|
9a6c41 |
return -1;
|
|
|
9a6c41 |
}
|
|
|
9a6c41 |
- asn_parse_bitstring(var_val, &len, &vp->type,
|
|
|
9a6c41 |
+ data = asn_parse_bitstring(var_val, &len, &vp->type,
|
|
|
9a6c41 |
vp->val.bitstring, &vp->val_len);
|
|
|
9a6c41 |
+ if (!data)
|
|
|
9a6c41 |
+ return -1;
|
|
|
9a6c41 |
break;
|
|
|
9a6c41 |
default:
|
|
|
9a6c41 |
snmp_log(LOG_ERR, "bad type returned (%x)\n", vp->type);
|
|
|
9a6c41 |
|
|
|
9a6c41 |
commit aa4fb949012d7c022a436992ac203c065fd7420a
|
|
|
9a6c41 |
Author: Jan Safranek <jsafranek@users.sourceforge.net>
|
|
|
9a6c41 |
Date: Mon Apr 22 14:58:41 2013 +0200
|
|
|
9a6c41 |
|
|
|
9a6c41 |
Integer values encoded in BER must have at least one character.
|
|
|
9a6c41 |
|
|
|
9a6c41 |
If asn_length == 0, we would read the first byte of the next varbind on next line:
|
|
|
9a6c41 |
if (*bufp & 0x80)
|
|
|
9a6c41 |
-> reading past the buffer if there is no such variable -> sigsegv.
|
|
|
9a6c41 |
|
|
|
9a6c41 |
diff --git a/snmplib/asn1.c b/snmplib/asn1.c
|
|
|
9a6c41 |
index 1af7787..5de6b75 100644
|
|
|
9a6c41 |
--- a/snmplib/asn1.c
|
|
|
9a6c41 |
+++ b/snmplib/asn1.c
|
|
|
9a6c41 |
@@ -510,7 +510,7 @@ asn_parse_int(u_char * data,
|
|
|
9a6c41 |
(errpre, bufp, data, asn_length, *datalength))
|
|
|
9a6c41 |
return NULL;
|
|
|
9a6c41 |
|
|
|
9a6c41 |
- if ((size_t) asn_length > intsize) {
|
|
|
9a6c41 |
+ if ((size_t) asn_length > intsize || (int) asn_length == 0) {
|
|
|
9a6c41 |
_asn_length_err(errpre, (size_t) asn_length, intsize);
|
|
|
9a6c41 |
return NULL;
|
|
|
9a6c41 |
}
|
|
|
9a6c41 |
@@ -582,7 +582,7 @@ asn_parse_unsigned_int(u_char * data,
|
|
|
9a6c41 |
(errpre, bufp, data, asn_length, *datalength))
|
|
|
9a6c41 |
return NULL;
|
|
|
9a6c41 |
|
|
|
9a6c41 |
- if ((asn_length > (intsize + 1)) ||
|
|
|
9a6c41 |
+ if (((int) asn_length > (intsize + 1)) || ((int) asn_length == 0) ||
|
|
|
9a6c41 |
((asn_length == intsize + 1) && *bufp != 0x00)) {
|
|
|
9a6c41 |
_asn_length_err(errpre, (size_t) asn_length, intsize);
|
|
|
9a6c41 |
return NULL;
|