Denis Ovsienko

O interpretador BPF não valida o índice do registrador ao carregar ou armazenar valores de/para um registrador de memória temporária (scratch memory register). Embora o índice seja um inteiro de 32 bits sem sinal que não deve exceder 15, a falta de validação permite que um programa de filtro manipulado force leituras e gravações na memória do processo fora dos limites pretendidos. Em arquiteturas de 64 bits, isso pode afetar os 16GiB de memória a partir do quadro de pilha atual e, em arquiteturas de 32 bits, pode afetar todo o espaço de endereçamento.

O interpretador BPF não detecta quando o fim do buffer do programa de filtro é atingido devido à ausência de uma instrução de retorno, ou quando uma instrução de salto utiliza um deslocamento que aponta para fora do buffer. Em cenários incomuns específicos, um programa de filtro manipulado pode forçar o interpretador a ler a memória do processo do SO em um intervalo de 32GiB ao redor do buffer em arquiteturas de 64 bits, ou em todo o espaço de endereçamento em arquiteturas de 32 bits.

O interpretador BPF não verifica se o valor imediato é zero ao processar as instruções ALU 'div #k' e 'mod #k'. Isso permite que um programa de filtro especialmente criado cause um erro de divisão por zero.

The issue affects the Quagga package, allowing remote attackers to exploit multiple vulnerabilities, potentially leading to disruption of confidentiality, integrity, and availability of protected information. The exploitation can be carried out remotely. Specifically, the `bgp capability orf` function in `bgpd` in Quagga 0.99.20.1 and earlier is vulnerable to a denial of service (assertion failure and daemon exit) by sending a malformed Outbound Route Filtering (ORF) capability TLV in an OPEN message, leveraging a BGP peering relationship.