PoC für CVE-2025-30216: CryptoLib Heap-Overflow-Sicherheitslücke

Überblick

CryptoLib bietet eine reine Softwarelösung unter Verwendung des CCSDS Space Data Link Security Protocol - Extended Procedures (SDLS-EP) zur Sicherung der Kommunikation zwischen einem Raumfahrzeug, das das core Flight System (cFS) ausführt, und einer Bodenstation. In den Versionen 1.3.3 und früher tritt eine Heap-Overflow-Sicherheitslücke in der Funktion Crypto_TM_ProcessSecurity (crypto_tm.c:1735:8) auf. Bei der Verarbeitung der Secondary Header Length eines TM-Protokollpakets wird ein Heap-Overflow während der memcpy-Operation ausgelöst, wenn die Secondary Header Length die Gesamtlänge des Pakets überschreitet. Dabei werden Paketdaten in den dynamisch allozierten Puffer p_new_dec_frame kopiert. Dies ermöglicht einem Angreifer, angrenzenden Heap-Speicher zu überschreiben, was potenziell zu beliebiger Codeausführung oder Systeminstabilität führen kann.

Auswirkungen: Ein manipuliertes Paket kann während memcpy-Operationen in den p_new_dec_frame-Puffer eine Heap-Speicherbeschädigung auslösen, was potenziell zu Folgendem führen kann:

• Beliebige Codeausführung
• Systeminstabilität
• Denial of Service

Patched Version: 810fd66d592c883125272fef123c3240db2f170f

Dateien

• poc.py - Python-Skript mit zwei Modi:
  • Generieren manipulierter TM-Pakete
  • Prüfen von Paketen auf Sicherheitslückenindikatoren

Anforderungen

• Python 3.6+
• Keine externen Abhängigkeiten

Verwendung

1. Generieren eines manipulierten Pakets

./poc.py generate [overflow_amount]

Parameter:

• overflow_amount: Bytes für den Überlauf (Standard: 1024)

Beispiel:

# Generate packet with 2048-byte overflow
./poc.py generate 2048 > evil_packet.hex

2. Prüfen der Paketsicherheitslücke

./poc.py check <hex_packet>

Parameter:

• <hex_packet>: Hexadezimalstring des TM-Pakets

Beispiel:

# Analyze generated packet
./poc.py check $(cat evil_packet.hex)

Technische Details

Paketstruktur

[6-byte Primary Header][2-byte Secondary Header Length][Payload]

Auslösen der Sicherheitslücke

Das Skript erstellt Pakete, bei denen:

• Secondary Header Length > (Total Packet Length - Header Offset)
• Die memcpy-Operation versucht, mehr Bytes zu kopieren als verfügbar sind

Erkennungslogik

available_space = total_length - (offset + length_field_size)
if claimed_length > available_space:
    trigger_alert()

Haftungsausschluss

Diese Software ist vorgesehen für:

• Sicherheitsforschung
• Schwachstellendemonstration
• Verteidigungszwecke

NICHT auf Produktionssystemen oder ohne ausdrückliche Genehmigung verwenden. Die Betreiber übernehmen keine Haftung für Missbrauch dieses Werkzeugs.