dilan-diaz/point-to-point-protocol-daemon-rce-vulnerability-cve-2020-8597-Tarea universitaria que documenta CVE-2020-8597, un desbordamiento de búfer en la pila en el analizador EAP de pppd, con una demostración de exploit de ejecución remota de código utilizando una configuración de pppoe-server y cliente.
Instituto de Tecnología de la Información de Sri Lanka
Asignación 1
M. P. D. M. Dias
IT19165530
MLB_WD_Y2S1_13.1
Vulnerabilidad RCE del demonio del Protocolo
Punto a Punto (CVE-2020-8597)
Programación de Sistemas y Redes – IE2012
Contenido
Introducción
El Protocolo Punto a Punto (PPP) es un protocolo full-duplex que permite encapsular y distribuir datos simples a través de la capa 2 o de la infraestructura de enlace de datos, abarcando desde la conectividad por acceso telefónico (dial-up) hasta la banda ancha DSL y las redes privadas virtuales (VPN) que incorporan cifrado SSL. Como estos protocolos no permiten comunicaciones punto a punto, PPP también se utiliza para hacer cumplir IP y TCP sobre dos nodos directamente conectados. Pppd es un demonio utilizado en sistemas operativos tipo Unix para gestionar el establecimiento de sesiones PPP y la terminación de sesiones entre dos nodos.
PPP es el protocolo utilizado para crear conexiones a Internet a través de módems de acceso telefónico, conexiones DSL y varias otras formas de conexiones punto a punto mediante redes privadas virtuales (VPN), como el Protocolo de túnel punto a punto (PPTP). El programa pppd también puede autenticar a un peer (par) que se conecta a la red y/o proporcionar al peer detalles de autenticación utilizando diversos protocolos de autenticación como EAP.
Debido a una falla en el manejo del paquete del Protocolo de Autenticación Extensible (EAP) por parte del demonio del Protocolo Punto a Punto (pppd), un atacante remoto no autenticado puede provocar un desbordamiento de búfer en la pila (stack buffer overflow) que puede permitir la ejecución arbitraria de código en el sistema objetivo. Esta debilidad se desencadena por un error en la validación del tamaño de la entrada antes de copiar los datos proporcionados a la memoria. Dado que la validación del tamaño de los datos es incorrecta, se pueden copiar datos aleatorios en la memoria, lo que puede provocar una fuga de archivos que contribuya a la ejecución no intencionada de código.
La debilidad reside en la lógica del código de análisis de eap, específicamente en las funciones eap request) (y eap response) (en eap.c, que son llamadas por un manejador de entrada de red. Estas funciones, que utilizan el primer byte como tipo, toman un puntero y una longitud como entrada. Si el formato es EAPT MD5CHAP(4), entonces observa un área incrustada de 1 byte de longitud. La lógica de este código pretende asegurar que la duración incrustada sea menor que la longitud total del paquete. Tras esta verificación, intenta copiar los datos proporcionados (hostname), que se encuentran en un búfer de pila local después del campo de longitud incrustado. Esta comprobación de límites es incorrecta y permite que la copia de memoria se realice con una longitud de datos arbitraria.
Un error lógico adicional hace que la función eap input) (no compruebe si EAP se ha resuelto durante el proceso del Protocolo de Control de Línea (LCP). Esto permite que un atacante no autenticado envíe un paquete EAP incluso si ppp se negó a negociar la autenticación debido a la falta de soporte para EAP o por un incumplimiento de una frase de contraseña precompartida acordada en la etapa LCP. En eap input, el código inseguro de pppd debe procesar el paquete EAP y provocar el desbordamiento del búfer de la pila. Estos datos no verificados y de tamaño desconocido pueden utilizarse para comprometer la memoria del dispositivo objetivo. Además, pppd se ejecuta con privilegios elevados (sistema o root) y opera en conjunto con los controladores del kernel.
El programa pppd también se utiliza con el proyecto LWIP (lightweight IP) para proporcionar capacidad pppd a computadoras pequeñas. La instalación predeterminada de lwIP y sus instalaciones no son susceptibles a esta sobrecarga de búfer. Sin embargo, si se utiliza el código fuente de lwIP y se modifica explícitamente para permitir EAP en tiempo de compilación, el programa puede ser susceptible al desbordamiento de búfer.
CVE-2020-8597 es un error de desbordamiento de búfer en pppd debido a un defecto conceptual en el procesador de paquetes del Protocolo de Autenticación Extensible (EAP). Un atacante remoto no autorizado que envíe un paquete EAP especialmente diseñado a un cliente o servidor PPP vulnerable puede provocar una condición de denegación de servicio o una ejecución arbitraria de código. Dado que pppd opera en conjunto con los controladores del kernel y también tiene privilegios elevados, como dispositivo o incluso core, cualquier ejecución de código también puede realizarse con los mismos privilegios.
Referencia sobre quién encontró la vulnerabilidad
Descubierto por el investigador de seguridad de IOActive Ilja Van Sprundel, el problema crucial es una falla de desbordamiento de búfer en la pila que ocurre debido a un error lógico en el analizador del módulo del Protocolo de Autenticación Extensible (EAP) de las aplicaciones pppd, una mejora que ofrece soporte para métodos de autenticación adicionales en conexiones PPP.
La debilidad, registrada como CVE-2020-8597 con una puntuación CVSS de 9.8, puede ser aprovechada por atacantes no autorizados para ejecutar código arbitrario de forma remota en los dispositivos afectados y obtener el control total de ellos.
Cómo se encontró
Esta debilidad se atribuye a un error en la validación del tamaño de la entrada antes de transferir los datos a la memoria. Debido a que la validación del tamaño de los datos es incorrecta, se pueden copiar datos aleatorios a la memoria y provocar una fragmentación de la base de datos, lo que probablemente contribuya a la ejecución de código no autorizado.
La vulnerabilidad se encuentra en la lógica del código de análisis de eap, específicamente en las funciones eap request) (y eap response) (en eap.c, que son llamadas por el manejador de entrada de red.
Es incorrecto concluir que pppd no es inseguro si EAP no está permitido o si EAP no ha sido iniciado por un peer remoto mediante una contraseña o frase de contraseña. Esto se debe a que un intruso autenticado siempre podría enviar un paquete EAP no solicitado para inducir un desbordamiento de búfer.
La vulnerabilidad ha sido identificada en el demonio del Protocolo Punto a Punto (PPP), o pppd. PPP es un protocolo de la capa 2 utilizado para establecer conexiones a través de módems de acceso telefónico, conexiones DSL y muchas otras redes físicas, incluidas las redes móviles. PPP se ha incluido y ampliado para incorporar protocolos adicionales, como el Protocolo de túnel punto a punto (PPTP), que se utiliza en redes privadas virtuales (VPN) para proporcionar conexiones cifradas.
A lo largo de esta situación, el equipo de colaboración de SEI CERT se asoció con el analista de seguridad Ilja Van Sprundel (IOActive), quien encontró esta falla, y con el desarrollador de software Paul Mackerras (OZlabs), quien gestiona el código fuente, para examinar fácilmente el problema y encontrar una solución. El problema implicaba un desbordamiento de búfer en el código fuente de pppd debido a un desbordamiento de búfer básico en la expresión booleana y en la implementación de las declaraciones condicionales resultantes. La sentencia siguiente puede ser engañada para permitir una entrada de duración desconocida y copiarla a un búfer de la pila. Esto se conoce comúnmente como sobrecarga de trama o desbordamiento de búfer de la pila.