CVE-2025-61301 - CAPEv2: Denial-Of-Analysis durch rekursives Prozess-Forking

Beschreibung

Eine schwerwiegende Denial-of-Analysis-Schwachstelle betrifft reporting/mongodb.py und reporting/jsondump.py in CAPEv2 (Commit 52e4b43, vom 17.05.2025). Sie ermöglicht Angreifern, die Samples einreichen können, unvollständige oder fehlende Verhaltensanalyseberichte zu verursachen, indem sie tief verschachtelte oder überdimensionierte Verhaltensdaten erzeugen, die MongoDB-BSON-Grenzen oder orjson-Rekursionsfehler auslösen, wenn das Sample in der Sandbox ausgeführt wird.

CVSS-Score

CVSS v3.1: 7.5 (High)
Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Autoren / Forscher

• Evgenios Gkritsis - Fachbereich Informatik, Athens University of Economics and Business, Griechenland
• Constantinos Patsakis - Fachbereich Informatik, Universität Piräus, Griechenland
• George Stergiopoulos - Fachbereich Informatik, Athens University of Economics and Business, Griechenland

Details

Die Ursache dieser Schwachstelle liegt in CAPEv2s Umgang mit großen, tief verschachtelten Verhaltensberichten, die während der dynamischen Malware-Analyse erstellt werden.

• MongoDB-BSON-Dokumentgrößenbegrenzung:
  CAPEv2 verwendet MongoDB zum Speichern von Analyseberichten, die eine 16-MB-BSON-Dokumentgrößenbegrenzung haben [1].
  Wenn Berichte diese Größe überschreiten, oft aufgrund umfangreicher Prozessbäume, API-Aufrufe oder rekursiver Daten, lehnt die Datenbank das Einfügen ab, was zum Fehlschlagen der Berichterstellung führt.

• MongoDB-Verschachtelungstiefenbegrenzung:
  MongoDB erzwingt außerdem eine maximale Verschachtelungstiefe von 100 Ebenen pro BSON-Dokument.
  Rekursive Malware-Verhaltensweisen können dies leicht überschreiten, was zu Einfügefehlern führt, selbst wenn die Dokumentgröße unter 16 MB liegt.

• Python-JSON-Serialisierungsgrenzen:
  CAPEv2 verwendet Pythons orjson-Bibliothek, um Ergebnisse in JSON zu serialisieren.
  Tief verschachtelte oder rekursive Strukturen führen dazu, dass der Serialisierer an Pythons Rekursionsgrenzen stößt, was zu Serialisierungsfehlern und abgebrochener Berichterstellung führt [2].

• Beschneidung und Fehlerbehandlung:
  CAPEv2 versucht, diese Probleme zu entschärfen, indem es große Teile des Berichts schrittweise beschneidet (Entfernen von Kindknoten oder ganzen Prozessunterbäumen).
  Dies ist jedoch unzureichend, wenn die Verhaltenskomplexität die Beschneidungsschwellenwerte überschreitet, was zu wiederholten Fehlern beim Speichern des Berichts führt.

Manifestation in der Praxis

• Analyseaufträge mit langen Timeouts und komplexen Nutzlasten erzeugen große Berichte, die diese Grenzen auslösen.
• Das System protokolliert MongoDB OperationFailure Code 15-Fehler und „Rekursionsgrenze erreicht“-Fehler während der JSON-Serialisierung.
• Endgültige Berichte zeigen oft keine Verhaltensdaten oder fehlgeschlagene Berichterstellung an, sodass es so aussieht, als wäre die Malware harmlos oder inaktiv.

Auswirkung

Dies ist eine Denial-of-Analysis-Schwachstelle in CAPEv2, die dazu führen kann, dass die dynamische Analyse-Engine Verhaltensaktivitäten nicht erfasst oder meldet. Die Ausnutzung ermöglicht es Angreifern, die Verhaltenserkennung zu umgehen und unvollständige oder fehlende Analyseberichte zu erstellen.

Hauptauswirkungen

• Erkennungsumgehung: Böswilliges Verhalten wird möglicherweise nicht aufgezeichnet oder gemeldet, sodass Malware in Analyseergebnissen sauber oder harmlos erscheint.
• Falsches Vertrauen: CAPEv2 kann Analysen ohne sichtbare Fehler abschließen, während die Verhaltensprotokollierung teilweise oder vollständig fehlgeschlagen ist, was Analysten ein irreführendes Sicherheitsgefühl vermittelt.
• Wiederverwendbare Umgehungstechnik: Die Technik kann in Loader, Dropper oder gestaffelte Nutzlasten eingebettet werden, was sie kampagnenübergreifend wiederverwendbar macht.
• Einfache Ausnutzung: Die Technik ist einfach zu reproduzieren und erfordert kein tiefes technisches Fachwissen, was ihre Attraktivität für Massenverteilung oder Red-Team-Tools erhöht.

Nachgelagerte Konsequenzen

In Pipelines, die für das Triage oder die Anreicherung von Bedrohungsinformationen auf CAPEv2 angewiesen sind, kann dieser Fehler zu Folgendem führen:

• Übersehene IOCs
• Fehlklassifizierung fortschrittlicher Bedrohungen
• Unvollständige forensische Zeitachsen

Betroffene Produkte

CAPEv2 — Repository: https://github.com/kevoreilly/CAPEv2

Relevante Commit-/Build-Informationen

• Commit Hash: 52e4b43a2cb508d3483819042cf8e4d8348f3a05
• Commit-Datum: Di., 17. Juni 2025 — 16:09:50 (UTC+1)
• Autor: Kevin O'Reilly ([email protected])
• Branch: master
• Relevanter PR/Merge: PR #2624 — enzok/updates-01

Nachweistabelle

Die folgende Tabelle präsentiert Nachweise aus mehreren Analyseaufgaben und zeigt, wie zunehmende Komplexität und Dauer zu MongoDB- und Serialisierungsfehlern führen, was in unvollständigen oder fehlenden Verhaltensberichten resultiert.

Tabelle 1: CAPEv2-Analyseergebnisse, die Korrelation zwischen Aufgabenkomplexität, Berichtsgröße und Fehlerbedingungen zeigen.

Proof of Concept (PoC)

Zusammenfassung

Startet 5.000 Prozesse und führt zur Laufzeit eine mehrstufige XOR-Entschlüsselung durch, um eine realistische Umgehung zu emulieren. Für benutzerdefinierte Builds (unterschiedliche Rekursionsrunden, Schlüssellängen oder Prozessanzahl) kontaktieren Sie die Autoren für eine benutzerdefinierte Version.

Demo ausführen:

poc\vathos_demo.exe <IP> <PORT>

Stellen Sie sicher, dass ein Listener auf der angegebenen IP/PORT läuft (z.B. nc, ncat, Metasploit oder ein beliebiger C2-Listener), um Verbindungsversuche zu beobachten. In einer ordnungsgemäß funktionierenden Sandbox wäre der Verbindungsversuch sichtbar; unter den beschriebenen Denial-of-Analysis-Bedingungen erscheint die Verbindung möglicherweise nicht in CAPEv2-Berichten.

Empfohlene CAPEv2-Konfigurationen zum Testen

• Zeitlimitbereich: 180+ Sekunden

Optionen zum Variieren:

• Mit / ohne full-proc-memory-dumps
• Mit / ohne import-reconstruction-proc-dumps
• store_compressed = yes und store_compressed = no

Stellen Sie sicher, dass MongoDB und orjson für diese Tests ihre Standardgrenzen verwenden.

Erwartete Ergebnisse

Mit zunehmender Tiefe und Komplexität des Prozessbaums können Berichtsfehler auftreten, wie zum Beispiel:

• MongoDB Code 15 (BSON-Dokumentgröße überschritten)
• BSON-Verschachtelungsgrenze überschritten
• Python-/orjson-Rekursionsgrenze erreicht

CAPEv2 kann:

• Keine vollständigen Berichte erstellen
• Verhaltensdaten auslassen
• Unreagierbares Verhalten in der Weboberfläche anzeigen
• Die schädliche Aktivität nicht erkennen

Abbildung 1 - Backend-Protokolle zeigen JSON-Dump-Warnungen, orjson/Serialisierungsfehler und MongoDB-OperationFailure-Einträge

Abbildung 2 - Dashboard: failed_analysis

Abbildung 3 - Verhalten-Registerkarte: „Sorry! Kein Verhalten.“

Referenzen

1. „MongoDB Limits and Thresholds - Datenbankhandbuch - MongoDB-Dokumentation.“ https://www.mongodb.com/docs/manual/reference/limits/
2. orjson — Schnelle, korrekte Python-JSON-Bibliothek. https://github.com/ijl/orjson
3. https://www.cve.org/CVERecord?id=CVE-2025-61301