<div dir="ltr">Hi Sergey<div><br></div><div>Thank you. I'm convinced. I have now marked wheezy as not affected by CVE-2016-10253.</div><div><br></div><div>Best regards</div><div><br></div><div>// Ola</div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On 22 March 2017 at 13:23, Sergei Golovan <span dir="ltr"><<a href="mailto:sgolovan@nes.ru" target="_blank">sgolovan@nes.ru</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hi Ola,<br>
<span class=""><br>
On Wed, Mar 22, 2017 at 2:55 PM, Ola Lundqvist <<a href="mailto:ola@inguza.com">ola@inguza.com</a>> wrote:<br>
> Hi<br>
><br>
</span><span class="">> I have not tried to reproduce this myself so I'm not sure.<br>
><br>
> I suggest you also check the source code to see if the vulnerability is<br>
> there but just some slightly different data.<br>
<br>
</span>That's where I've started, and found that Erlang in wheezy uses pretty old<br>
libpcre (version 7.6), and its sources are very different from the 8.33<br>
in sid. So, I've tried to find the offending regexp, and seems to find one<br>
in PCRE sources (as one of the tests). It works fine in wheezy.<br>
<span class=""><br>
><br>
> If you are sure wheezy is not vulnerable then we can mark wheezy as not<br>
> affected by this CVE.<br>
<br>
</span>I still can't reliably tell if the regexp I've found is the one which is tied to<br>
CVE-2006-10253. Or it's another crash in PCRE in Erlang.<br>
<br>
There are 4 pull requests which claim to fix some overflows (see<br>
<a href="https://bugs.erlang.org/browse/ERL-208" rel="noreferrer" target="_blank">https://bugs.erlang.org/<wbr>browse/ERL-208</a> for the list). The one explicitly<br>
marked as fixing CVE-2006-10253 (<a href="https://github.com/erlang/otp/pull/1384" rel="noreferrer" target="_blank">https://github.com/erlang/<wbr>otp/pull/1384</a>)<br>
doesn't fix the crash with my regexp. Another patch<br>
(<a href="https://github.com/erlang/otp/pull/1108/files" rel="noreferrer" target="_blank">https://github.com/erlang/<wbr>otp/pull/1108/files</a>)<br>
does fix the crash. Also, CVE itself contains a link to the last patch, so<br>
probably that's it. In this case wheezy isn't vulnerable (backport is, I'll<br>
deal with it later).<br>
<br>
Cheers!<br>
<span class="HOEnZb"><font color="#888888">--<br>
Sergei Golovan<br>
</font></span></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div><font face="courier new, monospace" size="1"> --- Inguza Technology AB --- MSc in Information Technology ----</font></div><div><font face="courier new, monospace" size="1">/  <a href="mailto:ola@inguza.com" target="_blank">ola@inguza.com</a>                    Folkebogatan 26            \</font></div><div><font face="courier new, monospace" size="1">|  <a href="mailto:opal@debian.org" target="_blank">opal@debian.org</a>                   654 68 KARLSTAD            |</font></div><div><font face="courier new, monospace" size="1">|  <a href="http://inguza.com/" target="_blank">http://inguza.com/</a>                Mobile: +46 (0)70-332 1551 |</font></div><div><font face="courier new, monospace" size="1">\  gpg/f.p.: 7090 A92B 18FE 7994 0C36 4FE4 18A1 B1CF 0FE5 3DD9  /</font></div><div><font face="courier new, monospace" size="1"> ---------------------------------------------------------------</font></div></div><div><br></div></div></div></div></div>
</div>