BUGTRAQ ID: 31040
Gmanedit是类似于HTML编辑器的GNOME用户手册编辑器。
Gmanedit中存在多个缓冲区溢出漏洞，在启动向导后如果在手册的标题或名称中输入了超长行的话，或提供了超长的COMMAND=参数，或对编辑器提供了200kb的文件，就可以触发这些溢出，导致执行任意代码。
以下是callbacks.c文件中的有漏洞代码段：
638 gchar command[50],*datos;
639 gint exitstatus;
640
641 /* I read conf file ~/.gmaneditrc */
642
643 strcpy(temp, "/tmp/gmanedit.XXXXXX");
644 mkstemp (temp);
645 datos=ReadConfFromFile("COMMAND");
646
647 if (datos==NULL)
648 {
...
651 }
652 else
653 {
654 strcpy(command,datos);
655 strcat(command," -l ");
656 strcat(command,temp);
657 }
来自ReadConfFromFile的缓冲区可能超长：
862 static gchar *ReadConfFromFile(gchar *variable)
863 {
864 FILE *f;
865 gchar readed[100];
866 gchar *home;
867 gchar *tok;
868
869 // Intento de abrir el fichero con la configuración personalizada
870 home = getenv("HOME");
871 strcpy(readed,home);
872 strcat(readed,"/.gmaneditrc");
...
880 while (fgets(readed,80,f) != NULL)
881 {
882 // Lo siguiente quita los retornos de carro de las líneas leidas
883 if (readed[strlen(readed)-1] == '\n')
884 readed[strlen(readed)-1] = '\0';
885
886 if ((readed[0] != '#') && (!strncmp(variable,readed,strlen(variable))))
887 {
888 tok = strtok(readed,"=");
889 tok = strtok(NULL,"=");
890 fclose(f);
891 return(tok);
这个bug的起因是readed处的指针在函数离开后不再有效，但在某些情况下仍可用。由于未经边界检查便滥用了strcpy/strcat，代码中的其他位置也可能存在类似的问题。
在读取用户手册文件时如果将文本转换为utf8，就可能触发缓冲区溢出。
以下是callbacks.c文件中的有漏洞代码段：
1148 static void open_man_file(gchar *manfile)
...
1156 gchar *utf8;
1157 gchar * buffer = (gchar*)malloc(BUFFER_SIZE);
1158
1159
....
1179 if ((f=gzopen((gchar *)manfile,"rb"))!=NULL)
1180 {
1181 while(!gzeof(f))
1182 {
1183 bytes_read=gzread(f,buffer,BUFFER_SIZE);
1184 if (bytes_read>0)
1185 {
1186 utf8 = NULL;
1187 if (g_utf8_validate(buffer, -1, NULL) == FALSE)
1188 {
1189 utf8 = g_locale_to_utf8(buffer, -1, NULL, NULL, NULL);
1190 }
1191 if (utf8 != NULL)
1192 strncpy(buffer,utf8,strlen(utf8));
1193 gtk_text_buffer_insert_at_cursor(tb, buffer ,bytes_read);
1189行将用户手册缓冲区转换为utf8时，所生成的缓冲区可能大于之前的区域选项缓冲区。1192行的strncpy调用使用strlen(utf8)作为上边界，因此在某些情况下可能出现堆溢出。
Gmanedit 0.4.1-1
Gmanedit
--------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
<a href=http://gmanedit.sourceforge.net/ target=_blank>http://gmanedit.sourceforge.net/</a>
京公网安备 11010502034610号
暂无评论