CVE-2021-35942

A função wordexp da glibc trata mal um padrão malicioso: usou atoi onde strtoul era necessária, de modo que uma entrada não confiável para parse_param pode disparar uma leitura fora dos limites que trava o processo ou vaza memória arbitrária. Esta é uma falha em nível de biblioteca, então a exposição real está onde quer que um aplicativo passe strings influenciadas pelo atacante para wordexp para expansão de palavras no estilo shell. O impacto é negação de serviço ou divulgação de informações, não execução de código.

O risco prático de um bug da glibc gira inteiramente em torno da alcançabilidade da função vulnerável, e wordexp não está na maioria dos caminhos quentes — é uma API específica de expansão de shell à qual comparativamente poucos programas fornecem entrada não confiável. Assim, embora a glibc esteja em toda parte e o CVE se espalhe por uma longa lista de produtos Debian, NetApp e outros que a incorporam, a população de processos que de fato chamam wordexp com padrões controlados pelo atacante é muito menor do que a pegada do SBOM sugere. É por isso que é alto, e não crítico, e por que o pânico generalizado é equivocado.

Nossa abordagem é o inventário de dependências temperado por triagem de explorabilidade. O bug entra de carona em incontáveis SBOMs, então o rastrearíamos como um item de versão da glibc em ativos afetados NetApp e baseados em Debian, mas o classificamos conforme algum serviço exposto nesses hosts de fato encaminhe entrada não confiável para wordexp — a maioria não encaminha. Para a maior parte, trata-se de uma atualização de biblioteca na cadência normal; a ponta afiada é estreita, e resistiríamos a deixar um CVE de componente ubíquo consumir atenção desproporcional à sua real superfície alcançável.