RNDIS-CO

Zusammenfassung

Der RNDIS-USB-Gadget kann ausgenutzt werden, um Inhalte des Kernel-Speicherbereichs über den Paketfilter-Aktualisierungsmechanismus auszulesen.

Beschreibung

Der RNDIS_MSG_SET USB-Control-Transfer-Request-Handler – rndis_set_response – ruft gen_ndis_set_resp auf und übergibt einen um BufOffset + 8 versetzten Buffer-Pointer. Die Variable BufOffset wird aus der RNDIS-Nachricht extrahiert und nicht auf Einhaltung der Buffer-Grenzen überprüft. Folglich kann ein Angreifer durch Manipulation des vier Byte großen Members InformationBufferOffset von rndis_set_msg_type den tatsächlichen Buffer um bis zu 0xffffffff Bytes versetzen.

rndis.c - rndis_msg_parser

	case RNDIS_MSG_QUERY:
		return rndis_query_response(params,
					(rndis_query_msg_type *)buf);

	case RNDIS_MSG_SET:
		return rndis_set_response(params, (rndis_set_msg_type *)buf);

rndis.c - rndis_set_response

 static int rndis_set_response(struct rndis_params *params,
			      rndis_set_msg_type *buf)
{
	u32 BufLength, BufOffset;
	rndis_set_cmplt_type *resp;
	rndis_resp_t *r;

	r = rndis_add_response(params, sizeof(rndis_set_cmplt_type));
	if (!r)
		return -ENOMEM;
	resp = (rndis_set_cmplt_type *)r->buf;

	BufLength = le32_to_cpu(buf->InformationBufferLength);
	BufOffset = le32_to_cpu(buf->InformationBufferOffset);

#ifdef	VERBOSE_DEBUG
	pr_debug("%s: Length: %d\n", __func__, BufLength);
	pr_debug("%s: Offset: %d\n", __func__, BufOffset);
	pr_debug("%s: InfoBuffer: ", __func__);

	for (i = 0; i < BufLength; i++) {
		pr_debug("%02x ", *(((u8 *) buf) + i + 8 + BufOffset));
	}

	pr_debug("\n");
#endif

	resp->MessageType = cpu_to_le32(RNDIS_MSG_SET_C);
	resp->MessageLength = cpu_to_le32(16);
	resp->RequestID = buf->RequestID; /* Still LE in msg buffer */
	if (gen_ndis_set_resp(params, le32_to_cpu(buf->OID),
			((u8 *)buf) + 8 + BufOffset, BufLength, r))
		resp->Status = cpu_to_le32(RNDIS_STATUS_NOT_SUPPORTED);
	else
		resp->Status = cpu_to_le32(RNDIS_STATUS_SUCCESS);

	params->resp_avail(params->v);
	return 0;
}

Als nächstes setzt der Code, der für die Verarbeitung der OID RNDIS_OID_GEN_CURRENT_PACKET_FILTER zuständig ist, den aktuellen Paketfilter auf den Wert, auf den der buf-Zeiger zeigt. Mit dem angewendeten Offset kann man zwei Bytes an einer bestimmten Adresse abrufen und den Wert im Paketfilter speichern.

rndis.c - gen_ndis_set_resp

	switch (OID) {
	case RNDIS_OID_GEN_CURRENT_PACKET_FILTER:

		/* these NDIS_PACKET_TYPE_* bitflags are shared with
		 * cdc_filter; it's not RNDIS-specific
		 * NDIS_PACKET_TYPE_x == USB_CDC_PACKET_TYPE_x for x in:
		 *	PROMISCUOUS, DIRECTED,
		 *	MULTICAST, ALL_MULTICAST, BROADCAST
		 */
		*params->filter = (u16)get_unaligned_le32(buf);
		pr_debug("%s: RNDIS_OID_GEN_CURRENT_PACKET_FILTER %08x\n",
			__func__, *params->filter);

Ein weiterer Schritt besteht darin, den Paketfilterwert abzurufen, indem eine Kombination aus USB_CDC_SEND_ENCAPSULATED_COMMAND mit RNDIS_MSG_QUERY für die OID RNDIS_OID_GEN_CURRENT_PACKET_FILTER und USB_CDC_GET_ENCAPSULATED_RESPONSE Control-Transfer-Requests verwendet wird.

Das Wiederholen des Setzens/Abrufens des Paketfilters mit inkrementiertem InformationBufferOffset in der RNDIS-Anfrage ermöglicht die Extraktion von bis zu 0xffffffff Bytes des Kernel-Speichers, zwei Bytes auf einmal. Bei großen Datenmengen ist der Prozess eher langsam, aber dennoch effektiv.

 $ sudo python3 rndisco.py -v 0x1b67 -p 0x400c -l 0x3fffc > /tmp/rpi_rndis.dmp
 strings /tmp/rpi_rndis.dmp -n8 | tail -n 6
 stp_proto_unregister
 <30>Jan 27 14:39:48 dhcpcd[486]: usb0: IAID be:53:70:24
 <30>Jan 27 14:39:46 dhcpcd[486]: usb0: IAID be:53:70:24
 <30>Jan 27 14:39:46 dhcpcd[486]: usb0: adding address fe80::6f70:c737:89e:697a
 <30>Jan 27 14:39:40 dhcpcd[486]: usb0: carrier lost
 <30>Jan 27 14:39:48 dhcpcd[486]: usb0: adding address fe80::6f70:c737:89e:697a

Auswirkungen

Linux-Geräte, die USB-RNDIS-Gadgets bereitstellen, können ausgenutzt werden, um vertrauliche Informationen zu extrahieren.

CVE

CVE-2022-25375

rndis-co

Beliebteste