CVE-2022-0778-POC

POC بسيط للتحريك عن بُعد لـ CVE-2022-0778

لماذا

أثناء محاولة التحقق مما إذا كانت تطبيقات الخادم في جانبنا معرضة لـ CVE-2022-0778، ثبت أن القيام بذلك عن بُعد صعب للغاية. تعليمات إنشاء شهادات مصممة بشكل خبيث لتشغيل ثغرة التحليل في BN_nod_sqrt() كانت موجودة منذ فترة، ولكن المشكلة الرئيسية هي أن معظم تطبيقات العميل تحاول تحليل شهادة العميل لاستخدامها في مصافحة TLS. وهذا بدوره يعني:

• إذا كان التطبيق معرضًا للخطر، فسيتم تشغيل الثغرة وسيستهلك العميل 100% ويتوقف.
• إذا لم يكن التطبيق معرضًا للخطر، فلن يمكن تحليل الشهادة وسيخرج العميل، وهذا صحيح.

ماذا

ما كان مطلوبًا في الواقع هو القدرة على حقن رسالة في مصافحة TLS بحيث يمكننا استبدال محتويات رسالة الشهادة التي يرسلها العميل إلى الخادم استجابةً لرسالة CertificateRequest.

كيف

يعتمد هذا على tlslite-ng ويتجاوز طريقة TLSConnection._clientKeyExchange بحيث أثناء مصافحة TLS مع خادم قد يكون معرضًا للخطر:

1. نرسل رسالة ClientHello كما نفعل عادةً
2. نستهلك رسالة ServerHelloMessage ونتحقق مما إذا كانت تحتوي على CertificateRequest
3. إذا كانت تحتوي، نقوم ببناء رسالة Certificate عشوائية، وتحميل الشهادة المصممة المشفرة بصيغة DER من القرص
4. نرسل الرسالة المصممة إلى الخادم ونتوقع أن يقوم بتحليلها، مما قد يؤدي إلى تشغيل CVE-2022-0778

تم إنشاء crafted.crt بناءً على التعليمات في https://github.com/drago-96/CVE-2022-0778#using-asn1-templates، لا تتردد في إعادة إنشائه إذا كنت ترغب في ذلك.

الاستخدام

usage: main.py [-h] [--server SERVER] [--port PORT]

Parameters

optional arguments:
  -h, --help       show this help message and exit
  --server SERVER  Name of the server to connect for the TLS handshake,
                   defaults to "localhost"
  --port PORT      Port where server listens for TLS connections, defaults to
                   "443"