symbolexe/draytek-exploitCVE-2022-23093 FreeBSD Stack-basierter Überlauf
⚠️ Das standardmäßig verwendete Shellcode ist FreeBSD/x86-64 - execve - 28 Bytes von Gitsnik. Ändern Sie es und fügen Sie Ihr eigenes ein, um zu starten ⚠️
Das ping-Dienstprogramm, das zum Anfordern einer ICMP ECHO_RESPONSE von einem Host oder Gateway verwendet wird, wird mit einem IPv4-Ziel, entweder IPv4-Host oder IPv4-Multicast-Gruppe, über das obligatorische ECHO_REQUEST-Datagramm des ICMP-Protokolls aufgerufen. Das ECHO_REQUEST-Datagramm besteht aus einem IP- und ICMP-Header, gefolgt von einem "struct timeval" und einer variablen Anzahl von "Pad"-Bytes, um das Paket zu füllen.
Gemäß dem Sicherheitshinweis des FreeBSD-Projekts ruft das ping-Dienstprogramm rohe IP-Pakete aus dem Netzwerk ab, um Antworten innerhalb der pr_pack()-Funktion zu verarbeiten. Bei der Antwortverarbeitung rekonstruiert ping den IP-Header, ICMP-Header und, falls vorhanden, ein "quoted packet", das das Paket darstellt, das den ICMP-Fehler verursacht hat. Das quoted packet enthält ebenfalls einen IP-Header und einen ICMP-Header.
Die Funktion pr_pack() kopiert die empfangenen IP- und ICMP-Header in Stapelpuffer zur weiteren Verarbeitung. Sie berücksichtigt jedoch nicht die Möglichkeit, dass IP-Options-Header nach dem IP-Header in der Antwort oder im quoted packet vorhanden sind. Bei Vorhandensein von IP-Optionen verursacht pr_pack() einen Überlauf des Zielpuffers um bis zu 40 Bytes.
Das ping-Dienstprogramm läuft im Userspace, und beim Aufrufen des ping-Befehls wird die Binärdatei unter /sbin/ping ausgeführt. Der Quellcode des Dienstprogramms ist im FreeBSD-Quellcode öffentlich verfügbar. Die anfällige Funktion pr_pack() gibt die ICMP-Paketantwortinformationen im String-Format an stdout aus, z. B. "64 bytes from 1.3.3.7: icmp_seq=1 ttl=55 time=13.7 ms."
✔️ Das ICMP-Paket, sowohl in Anforderung als auch Antwort, besteht aus IP-Headern mit einem optionalen Optionsfeld, wie im obigen Diagramm dargestellt. Bei einem böswilligen Angriff werden diese IP-Optionen aktiviert und mit Nicht-Null-Bytes gefüllt. ✔️
Wenn ein ICMP-Paket auf dem Weg zum Zielhost fehlerhaft ist oder absichtlich manipuliert wird und IP-Optionen in der ursprünglichen Echo-Anfrage aktiviert sind, kann die Funktion pr_pack() nicht genügend Platz auf dem Stapel zuweisen, um das Vorhandensein der IP-Optionen zu berücksichtigen, was zu einem Stapelüberlauf führt.
🤝 In diesen Fehlerfällen kann die Antwort des Zielhosts auch ein "quoted packet" im Datenbereich enthalten, das das spezifische Paket identifiziert, das den ICMP-Fehler verursacht hat. Die Funktion pr_pack() verursacht einen Stapelüberlauf, wenn das quoted packet ICMP-Header enthält. 🤝
