CVE-2017-12561 - HPE iMC dbman Use-After-Free

Technische Analyse von CVE-2017-12561, einer Use-After-Free-Schwachstelle im dbman-Dienst des Hewlett Packard Enterprise Intelligent Management Center (iMC).

Überblick

Die Schwachstelle betrifft die Verarbeitung des Opcodes 10012 durch den Dienst. Eine fehlerhafte Verwaltung der Objektlebensdauer ermöglicht den erneuten Zugriff auf ein zuvor freigegebenes Objekt, was zu Speicherbeschädigung führt.

Laut ZDI-17-836 ist die Schwachstelle ohne Authentifizierung erreichbar und kann die Ausführung von Remote-Code mit SYSTEM-Rechten ermöglichen. Der dbman-Dienst lauscht standardmäßig auf TCP-Port 2810.

Über diese Untersuchung

Dieses Repository enthält meine Reverse-Engineering-Analyse und den zugehörigen Proof of Concept. Die Analyse umfasst:

• Binärvergleich mit IDA und Diaphora, um Änderungen zwischen verwundbaren und gepatchten Binärdateien zu untersuchen.
• Analyse der Befehlsverarbeitung des Dienstes und der ASN.1/BER-Dekodierung.
• Debugging des Absturzes und Untersuchung der Objektbereinigung sowie der anschließenden Wiederverwendung im Lebenszyklus der ACE-Ereignisbehandlung.

Die dokumentierten Tests wurden auf Windows Server 2008 R2 Datacenter x64 durchgeführt. Die Analyse demonstriert einen Absturz und untersucht dessen Use-After-Free-Ursache; sie demonstriert keinen vollständigen Remote-Code-Execution-Exploit.

Analyse

Lesen Sie die vollständige technische Analyse.

Danksagungen und Referenzen

• Reverse Engineering und Analyse: Filipe Oliveira (Everdoh).
• Ursprüngliche Entdeckung der Schwachstelle: Steven Seeley (mr_me) von Offensive Security, wie von ZDI genannt.
• Advisory: ZDI-17-836, veröffentlicht am 3. Oktober 2017.