Fault Chain

No bgpd, o processo aceita um atributo de Encapsulamento de Túnel (tipo 23) cujo comprimento TLV (Tipo-Comprimento-Valor) externo não corresponde ao comprimento real do atributo. Essa divergência faz com que a contagem de referência da cadeia de sub-TLV internada do atributo fique desequilibrada, resultando na liberação da cadeia enquanto as rotas nas entradas Adj-RIB-In e caminhos RIB ainda a referenciam. Quando essas rotas são substituídas, retiradas ou limpas, o bgpd acessa a memória liberada e tenta liberá-la uma segunda vez. Esta condição de double-free pode levar a uma falha de asserção na contabilização de memória, fazendo com que o bgpd aborte e derrube todas as sessões BGP. O problema requer uma sessão BGP estabelecida e pode ser desencadeado por qualquer vizinho, incluindo vizinhos eBGP, a menos que o atributo seja explicitamente descartado.

In FRRouting (FRR) 8.3 through 10.5.1, bgp notify decapsulate hard reset() in bgpd/bgp packet.c does not validate the length of the data field of a received BGP NOTIFICATION Cease/Hard Reset message (RFC 8538). When the data field is exactly one byte long, the function reads one byte past the end of a heap buffer and the 16-bit length of the encapsulated data underflows to 65535, causing a 65535-byte out-of-bounds heap read followed by an assertion failure. A remote BGP peer that has established a session and negotiated the Graceful Restart capability with the Notification (N) bit can send such a message to crash the bgpd daemon, terminating all BGP sessions (denial of service). This is fixed in 10.0.5, 10.1.5, 10.2.6, 10.3.4, 10.4.3, 10.5.2 and 10.6.0.