0xkol/freebsd-dhclient-pocReproducer PoC für die Sicherheitslücke im FreeBSD dhclient, die einen Heap-basierten Pufferüberlauf beim Parsen von DHCP-Option 119 verursacht (CVE-2020-7461)
Autoren: Moshe Kol, Shlomi Oberman
Reproducer PoC für die heap-basierte Pufferüberlauf-Schwachstelle in FreeBSD dhclient beim Parsen von DHCP-Option 119 (CVE-2020-7461).
Das Problem befindet sich in der Funktion find_search_domain_name_len in der Datei sbin/dhclient/options.c.
Diese Funktion wird von expand_domain_search aufgerufen, wenn die DHCP-Option 119 (Domain Search, RFC 3397) vom Server bereitgestellt wird.
Wenn ein Komprimierungsschema verwendet wird, wird die Funktion find_search_domain_name_len rekursiv von der angegebenen Position aus aufgerufen, aber der Rückgabewert des rekursiven Aufrufs wird nicht überprüft. Wenn der rekursive Aufruf fehlschlägt, wird ein Rückgabewert von -1 verwendet, der einfach zur kumulativen Längenvariable addiert wird.
Hier ist der fehlerhafte Code (Zeilen 299-301, options.c, letzter Commit 70066b9):
299: pointed_len = find_search_domain_name_len(option,
300: &pointer);
301: domain_name_len += pointed_len;
Später in der Funktion expand_domain_search wird ein Puffer mit der Länge, die mit find_search_domain_name_len berechnet wurde, allokiert, und dann wird der erweiterte Name mit der Funktion expand_search_domain_name in diesen Puffer geschrieben. Da die letztgenannte Funktion keine Überprüfungen des Zeigerwerts im Komprimierungsschema durchführt, ist es möglich, den allokierten Puffer zu überlaufen.
Sie finden das FreeBSD Security Advisory hier.