eerykitty/cve-2020-0796-pocPoC para desencadenar desbordamiento de búfer mediante CVE-2020-0796
./CVE-2020-0796.py servername
Este script se conecta al host objetivo y comprime la solicitud de autenticación con un campo de offset incorrecto establecido en el encabezado de transformación, lo que provoca que el descompresor desborde el búfer y bloquee el objetivo.
Esto contiene una modificación del excelente smbprotocol con soporte añadido para compresión/descompresión SMB 3.1.1 (solo LZNT1). La mayoría de las adiciones están en smbprotocol/connection.py. Se incluye una versión de lznt1, modificada para soportar Python 3.
El encabezado de transformación de compresión está en la clase SMB2CompressionTransformHeader allí. La función _compress se llama para comprimir solicitudes de árbol. Aquí es donde el campo de offset se establece en un valor alto para provocar el fallo.
def _compress(self, b_data, session):
header = SMB2CompressionTransformHeader()
header['original_size'] = len(b_data)
header['offset'] = 4294967295
header['data'] = smbprotocol.lznt1.compress(b_data)
CVE-2020-0796 es un error en la nueva capacidad de compresión SMB3 de Windows 10 1903/1909. El protocolo SMB versión 3.1.1 introduce la capacidad para que un cliente o servidor anuncie capacidades de compresión, y comprima selectivamente mensajes SMB3 cuando sea beneficioso. Para lograrlo, al negociar una sesión SMB, tanto el cliente como el servidor deben incluir un SMB2_COMPRESSION_CAPABILITIES como se documenta en MS-SMB2 2.2.3.1.3.
Una vez que se negocia una sesión con esta capacidad, tanto el cliente como el servidor pueden comprimir selectivamente ciertos mensajes SMB. Para hacerlo, se comprime todo el paquete SMB y se antepone un encabezado transformado, como se documenta en MS-SMB2 2.2.42. Este encabezado es una estructura pequeña (16 bytes) con un valor mágico, el tamaño de los datos sin comprimir, el algoritmo de compresión utilizado y un valor de offset.
CVE-2020-0796 es causado por la falta de verificación de límites en ese tamaño de offset, que se pasa directamente a varias subrutinas. Pasar un valor grande provocará un desbordamiento de búfer y bloqueará el kernel. Con más trabajo, esto podría convertirse en un exploit de RCE.