تحسين الاستغلال العام لـ CVE-2022-24834

المؤلف

فريق أبحاث Conviso

الوصف

اكتشف فريق Ricerca Security (@RicercaSec) واستغل بنجاح ثغرة مثيرة (CVE-2022-24834) في مترجم Lua المضمن مع Redis. هذه الثغرة هي تجاوز سعة في كومة الذاكرة في مكتبة cjson، ويمكن العثور على شرح مفصل هنا.

لاحظنا بعض الإزاحات الثابتة [2] [3]، والتي قد تشكل إزعاجًا لمن يرغب في اختبارها، لذا قررنا إزالتها. كان الهدف الرئيسي هو جعلها أكثر عمومية وتعلم القليل عن داخلية Lua.

التعديلات التي أجريناها

• استخدمنا سلسلة نصية ضخمة لقراءة عناوين ذاكرة عشوائية بسهولة أكبر؛
• استخدمنا coroutine في Lua لتسريب عناوين المكدس و libc، هذه التقنية موثقة هنا بواسطة Saelo (@5aelo)؛
• أدرجنا دالة لحل الرموز (local system_addr = resolve_symbol_gnu(libc_leak, "system"))
• أدرجنا أداة بحث تلقائية عن الأدوات (gadgets)؛
• عدّلنا ملف exploit.py الأصلي لاستخدام pwntools
• أضفنا معالجًا للـ reverse shell إلى exploit.py

الاختبارات

• Redis 7.0.11 على Ubuntu 20.04 (عبر التجميع الخاص) - نجاح
• Redis 7.0.11 على Ubuntu 20.04 (عبر apt باستخدام المستودع الرسمي لـ Redis) - نجاح
• Redis 7.0.11 على Ubuntu 20.04 (عبر صورة Docker redis:7.0.11) - نجاح
• Redis 6.2.12 على Ubuntu 20.04 (عبر صورة Docker redis:6.2.12) - نجاح
• Redis 7.0.11 على Debian 11 (عبر apt باستخدام المستودع الرسمي لـ Redis) - نجاح
• Redis 5.0.7 على Ubuntu 20.04 (عبر apt) - تعطل

الشكر والتقدير

• @RicercaSec - على الثغرة والشرح الرائع والاستغلال الأولي؛
• @5aelo - على تقنية coroutine.

العرض التوضيحي

الإصدار 6.2.12

الإصدار 7.0.11

المراجع

[1] https://ricercasecurity.blogspot.com/2023/07/fuzzing-farm-4-hunting-and-exploiting-0.html

[2] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L341

[3] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L362-L365

[4] https://saelo.github.io/posts/pwning-lua-through-load.html