CVE-2025-47917 Exploit (Use-After-Free in mbedTLS)

Autor : Byte Reaper

Telegram : @ByteReaper0

CVE : CVE-2025-47917

Schwachstelle : Use-After-Free (UAF) im mbedTLS 3.6.4 Namensparsen

Beschreibung

Dieses Repository enthält einen Exploit, der eine Use-After-Free-Sicherheitslücke in der mbedtls_x509_string_to_names() Namensparsen-Funktion der mbedTLS-Bibliothek ausnutzt. Ein erfolgreicher Exploit ermöglicht die Ausführung von beliebigem Code mit Root-Rechten, indem er freigegebene Heap-Metadaten kapert und den Kontrollfluss auf injizierten Shellcode umleitet.

Voraussetzungen

1. Betriebssystem: Linux (getestet auf Kali Linux)

2. Root-Rechte: Erforderlich zum Deaktivieren von ASLR und zur Ausführung von injiziertem Shellcode

3. mbedTLS-Entwicklungsbibliotheken (mbedTLS < 3.6.4):

   root@kitploit:~

   sudo apt update
   sudo apt install -y libmbedtls-dev
   

4. Build-Werkzeuge: gcc, make (optional)

Kompilierung

Passen Sie die Include-/Library-Pfade entsprechend Ihrer Installation an:

gcc /path/to/exploit.c \
    -I/usr/local/include \
    -L/usr/local/lib \
    -lmbedtls -lmbedx509 -lmbedcrypto \
    -Wl,-rpath,/usr/local/lib \
    -o exploit_UAF

Verwendung

1. ASLR deaktivieren (Address Space Layout Randomization):

   root@kitploit:~

   echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
   

2. Listener vorbereiten für die Reverse Shell auf dem Angreifer-Rechner (Port 4454):

   root@kitploit:~

   nc -lvnp 4454
   

3. Exploit ausführen mit Root-Rechten:

   root@kitploit:~

   sudo ./exploit_UAF
   

Exploit-Workflow

1. ASLR-Prüfung: checkAslr() liest /proc/sys/kernel/randomize_va_space, um sicherzustellen, dass ASLR deaktiviert ist. Beendet sich, wenn aktiviert.
2. Erster mbedtls_x509_string_to_names()-Aufruf: Initialisiert eine leere named-data-Liste.
3. Heap-Spray: paddingChunk() alloziert viele gefälschte named-data-Strukturen, um Freiliste-Einträge mit kontrolliertem Inhalt zu füllen, der auf Shellcode verweist.
4. Zweiter mbedtls_x509_string_to_names()-Aufruf: Löst die Use-After-Free-Bedingung aus, verwendet einen freigegebenen Chunk mit gefälschten Metadaten wieder.
5. Shellcode-Injektion: Shellcode wird über mmap() als RWX gemappt, kopiert und über den beschädigten named_data->val.p-Pointer ausgeführt.

Reverse-Shell-Shellcode

• Target IP: 192.168.92.187
• Target Port: 4454

Der Shellcode führt eine socket + connect + dup2-Sequenz aus, dann execve("/bin/sh").

Ethischer und rechtlicher Haftungsausschluss

• Dieser Code wird ausschließlich für autorisierte Sicherheitsforschung und zu Bildungszwecken bereitgestellt.
• Die unbefugte Nutzung gegen Systeme, für die Sie keine ausdrückliche Genehmigung haben, ist illegal und unethisch.
• Holen Sie immer eine schriftliche Genehmigung ein, bevor Sie Tests an einem Netzwerk oder Host durchführen.

Lizenz

MIT