str0ng4le/cve-2022-30114Proof-of-Concept-Exploit für CVE-2022-30114, einen Heap-basierten Pufferüberlauf in Fastweb-FastGate-Routern. Sendet einen manipulierten HTTP-Authorization-Header, um einen entfernten Denial-of-Service über den cmproxy-FastCGI-Dienst auszulösen.
Dieses Skript ist ein Proof of Concept (PoC) für CVE-2022-30114 und verursacht einen Neustart der Fastweb FastGate Heimrouter, sowohl der GPON- als auch der VDSL2-Version.
CVE-2022-30114 ist ein heap-basierter Pufferüberlauf in der ausführbaren Datei 'cmproxy', einem Programm, das HTTP-Anfragen über einen Lighttpd FastCGI-Webserver verarbeitet, der auf TCP-Port 8888 lauscht. Eine speziell präparierte HTTP-Anfrage ermöglicht es einem entfernten Angreifer, die ausführbare Datei zum Absturz zu bringen und das Gerät neu zu starten, was einen Denial-of-Service verursacht.
Die Geräte sind anfällig für einen heap-basierten Pufferüberlauf, der durch das Fehlen einer Längenvalidierung des 'Authorization'-HTTP-Header-Werts auf dem über TCP-Port 8888 verfügbaren Webdienst verursacht wird. Der Dienst ist sowohl auf den WAN- als auch auf den LAN-Schnittstellen des Geräts verfügbar1.
Ein entfernter, nicht authentifizierter Angreifer, der eine Zeichenfolge mit mehr als 100 Bytes im 'Authorization'-HTTP-Header sendet, verursacht einen Überlauf in einem vorab zugewiesenen Puffer im '.bss'-Speicherbereich einer ausführbaren Datei namens 'cmproxy', die HTTP-Anfragen, die über das FastCGI-Protokoll an den oben genannten Dienst gesendet werden, verarbeitet.
Dies ermöglicht es, den Heap-Speicher des Prozesses zu überschreiben, was dazu führt, dass der Prozess beschädigt wird und bei der ersten Speicherzuweisung abstürzt. Es ist erwähnenswert, dass die verwendete C-Bibliotheksversion (GNU C Library – glibc v2.24) Schutzmaßnahmen zur Erkennung von Heap-Korruption enthält, es ist jedoch nicht ausgeschlossen, dass durch eine vertiefte Analyse Heap-Strukturen überschrieben und Codeausführung erreicht werden könnte.
Siehe Blogbeitrag für Details.
Der WAN-Zugriff wurde nach der ersten Offenlegung gegenüber Fastweb als ausgleichende Kontrollmaßnahme deaktiviert. Zum Zeitpunkt der Erstellung dieses Artikels ist der Dienst immer noch im internen LAN verfügbar. ↩
