gnuplot 5.x Уязвимость переполнения буфера

Question

Я хотел бы использовать gnuplot 5.x на аппаратных платформах моего работодателя (рабочие станции Dell и ноутбук, работающие Windows 7 и 10 соответственно). Наше системное администрирование выявило «уязвимости переполнения буфера», связанные с этим программным обеспечением.

Простой поиск «переполнения буфера gnuplot» в Google дает некоторую информацию, связанную с этим, например:

https://sourceforge.net/p/gnuplot/bugs/2093/ https://sourceforge.net/p/gnuplot/bugs/1413/ https://research.loginsoft.com/bugs/buffer-overflow-vulnerability-in-ps_options-gnuplot-5-2-5/

Я не опытный программист на C ++ и не специалист по кибербезопасности. В некоторых из этих сообщений я вижу такие комментарии: Ссылка № 1: «злоумышленник может использовать этот недостаток, чтобы переполнить важные данные, чтобы перехватить поток управления». Ссылка № 3: «Это позволяет злоумышленнику вызвать отказ в обслуживании (ошибка сегментации и повреждение памяти) или, возможно, иметь неуказанные другие воздействия, когда жертва открывает специально созданный файл».

И я думаю про себя: "В самом деле?". Достоверны ли эти оценки, и если да, то как такой давно установленный и широко используемый инструмент может иметь такой серьезный недостаток?

Как вы можете себе представить, у меня возникли проблемы с утверждением моего работодателя установки и использования gnuplot. Любая основанная на фактических данных информация, которую вы можете предоставить, чтобы пролить свет на этот вопрос, будет очень признательна.

Большое спасибо. Maziar.

Answer 1

Все программы имеют ошибки. Вы указываете на две указанные c ошибки, которые были обнаружены в 2018 году, о которых сообщалось в системе отслеживания ошибок проекта и были исправлены в первом последующем выпуске программы. В обоих случаях ошибки были типа «вы могли взломать sh эту программу, если вы дадите ей определенные неправильно сформированные команды». Эти конкретные ошибки больше не существуют в текущих версиях программы, так как они были зарегистрированы и исправлены. Но другие ошибки такого рода, вероятно, существуют в gnuplot и в каждой программе, работающей на вашем компьютере. Это жизнь в несовершенном мире.

Другими словами, вы или политика безопасности вашего работодателя должны решить, действительно ли это проблема, что «эта программа может взломать sh, если вы загрузите ее мусором».

Более реалистичная c проблема в том, что gnuplot - это, по сути, язык сценариев. Он может читать и записывать любые файлы, к которым у пользователя есть права доступа. Если вы запустите скрипт gnuplot, полученный из вредоносного источника, он может перезаписать ваши файлы или выдать вредные команды вашей системе. Это то же самое, что и при загрузке и выполнении файла *.com или *.exe или сценария python любой другой серии команд, предоставленных вредоносным источником. На самом деле это не обвинение программы, а лишь слабая практика безопасности со стороны пользователя.