leesh3288/cve-2025-32023PoC & Exploit für CVE-2025-32023 / PlaidCTF 2025 „Zerodeo“
PoC & Exploit für CVE-2025-32023 (GHSA-rp2m-q4j6-gr43) / PlaidCTF 2025 "Zerodeo"
Getestet gegen redis:7.4.2-alpine3.21@sha256:02419de7eddf55aa5bcf49efb74e88fa8d931b4d77c07eff8a6b2144472b6952
Betrifft Redis-Versionen >= 2.8. Behoben in 8.0.3, 7.4.5, 7.2.10, 6.2.19, siehe redis/redis@5018874.
HyperLogLog ist in Redis lediglich ein weiterer String mit eigenen Kodierungen. Das Iterieren über eine spärliche HLL-Kodierung erfordert das Aufsummieren der Lauflängen jeder spärlichen Darstellung, was die in int i gezählte Gesamtlänge bei der Verarbeitung eines fehlerhaften HLL in einen negativen Wert überlaufen lassen kann. Dies ermöglicht es einem Angreifer, negative Offsets in der HLL-Struktur zu überschreiben, was je nach Herkunft der HLL-Struktur zu einem Out-of-Bounds-Schreibzugriff auf dem Stack/Heap führt (z. B. verwendet hllMerge() eine auf dem Stack allokierte Struktur, hllSparseToDense() eine auf dem Heap allokierte).
Siehe den Patch-Auszug unten:
int hllMerge(uint8_t *max, robj *hll) {
struct hllhdr *hdr = hll->ptr;
int i;
if (hdr->encoding == HLL_DENSE) {
hllMergeDense(max, hdr->registers);
} else {
uint8_t *p = hll->ptr, *end = p + sdslen(hll->ptr);
long runlen, regval;
+ int valid = 1;
p += HLL_HDR_SIZE;
i = 0;
while(p < end) {
if (HLL_SPARSE_IS_ZERO(p)) {
runlen = HLL_SPARSE_ZERO_LEN(p);
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
i += runlen;
p++;
} else if (HLL_SPARSE_IS_XZERO(p)) {
runlen = HLL_SPARSE_XZERO_LEN(p);
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
i += runlen;
p += 2;
} else {
runlen = HLL_SPARSE_VAL_LEN(p);
regval = HLL_SPARSE_VAL_VALUE(p);
- if ((runlen + i) > HLL_REGISTERS) break; /* Overflow. */
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
while(runlen--) {
if (regval > max[i]) max[i] = regval;
i++;
}
p++;
}
}
- if (i != HLL_REGISTERS) return C_ERR;
+ if (!valid || i != HLL_REGISTERS) return C_ERR;
}
return C_OK;
}
Der Exploit nutzt die üblichen Redis-Pwnables-Techniken: