Piotr Kowalczyk

يفشل البرنامج في تقييد خيارات سطر الأوامر عند تحليل ملفات الاستعادة. وهذا يسمح للمهاجمين بإدخال خيارات إعادة توجيه المخرجات، مثل `--outfile` و`--potfile-path`. ومن خلال إنشاء ملفات استعادة تحتوي على هذه الخيارات الخبيثة، يمكن للمهاجم إضافة محتوى خاضع لسيطرته إلى ملفات عشوائية، مما قد يؤدي إلى تنفيذ التعليمات البرمجية في حالة استهداف ملفات بدء تشغيل shell.

تحتوي الدالة `fgetl()` الموجودة في ملف src/filehandling.c على خطأ في الكتابة خارج حدود الـ«هيوب». ويحدث هذا عندما تكتب الدالة حرف إنهاء «null» على بعد بايت واحد خارج حدود المخزن المؤقت (buffer) الخاص بالمستدعي، في حالة ما إذا كان طول سطر الإدخال يساوي طول المخزن المؤقت بالضبط. يمكن للمهاجم استغلال هذه الثغرة عن طريق تقديم قائمة كلمات أو ملف potfile أو ملف هاش يحتوي على سطر يبلغ طوله بالضبط `HCBUFSIZ LARGE` بايت.

يحدث تجاوز سعة المخزن المؤقت القائم على الكومة (heap-based buffer overflow) في الدالة `outfile write()` الموجودة في ملف src/outfile.c. تنشأ المشكلة عندما يقوم البرنامج بتجميع المخرجات في مخزن مؤقت ذي حجم ثابت (`HCBUFSIZ LARGE`، حوالي 16 ميغابايت) عن طريق إلحاق اسم المستخدم والفاصل والتجزئة والنص العادي بالتسلسل باستخدام memcpy. ونظرًا لأن الدالة لا تتحقق مما إذا كان الطول المتراكم يتجاوز سعة المخزن المؤقت، فإن تقديم ملف تجزئة مُعد خصيصًا يحتوي على اسم مستخدم كبير الحجم أثناء استخدام العلامتين `--username` و`--show` يمكن أن يتسبب في تجاوز إجمالي المخرجات سعة المخزن المؤقت. ويؤدي ذلك إلى كتابة خارج النطاق مما قد يؤدي إلى إتلاف الذاكرة وتعطل العملية.

يوجد تجاوز سعة مخزن الذاكرة المؤقتة (heap buffer overflow) في وحدة KeePass AESKDF/KDBX v4 (الوحدة 34301). تحدث المشكلة عندما تعالج الوحدة الرمز المميز لحقل التجزئة التاسع؛ ففي حين أنها تقبل ما يصل إلى 600 حرف سداسي عشري، فإنها تقوم بفك تشفير هذه البيانات إلى مخزن مؤقت ثابت سعة 256 بايت دون إجراء فحص للطول. وهذا يسمح لمدخلات كبيرة الحجم بالكتابة بما يصل إلى 44 بايت خارج حدود المخزن المؤقت في حقول esalt المجاورة وبيانات تعريف أجزاء الذاكرة المؤقتة، مما قد يؤدي إلى تلف الذاكرة المؤقتة أو انتهاكات الوصول إلى الذاكرة.