En su informe, Mantas menciona el uso de la versión obsoleta 0.64 de PuTTY, y también adjunta un back-trace del aborto por doble liberación.

Recorrido de la investigación

Para profundizar, configuramos un entorno con el OpenSSH 9.1p1 vulnerable y obtuvimos una copia de la versión antigua de PuTTY 0.64, publicada hace 8 años, el 28 de febrero de 2015.

Se devolvió el siguiente error después de intentar conectar con PuTTY 0.64 al servidor OpenSSH vulnerable:

Dado que los algoritmos de intercambio de claves del cliente obsoleto no son compatibles con la nueva versión de OpenSSH, editamos el archivo sshd_config agregando la siguiente línea a /etc/ssh/sshd_config : KexAlgorithms +diffie-hellman-group1-sha1

Después de reiniciar el servidor SSH e intentarlo de nuevo, se devolvió el siguiente error:

Después de agregar otra línea de configuración al sshd_config, pudimos conectarnos al servidor OpenSSH vulnerable y reproducir el fallo:

HostKeyAlgorithms +ssh-rsa

Al ejecutar el servidor en modo de depuración (usando la opción -ddd), se devolvió el siguiente mensaje de depuración:

ssh_sandbox_violation: unexpected system call (arch:0xc000003e,syscall:20 @ 0x7fd7473fb771) [preauth]

El número de syscall 20 es writev(), lo que coincide con el informe de Bugzilla.

Ten en cuenta que los cambios de configuración que hicimos fueron solo para reproducir la vulnerabilidad a través de PuTTY y no son necesarios para explotarla. Como veremos en el PoC, la configuración predeterminada es vulnerable.

Detalles en profundidad de la vulnerabilidad

Comenzamos examinando el commit de la corrección que indica que compat_kex_proposal() es responsable de la doble liberación. Cuando la opción de compatibilidad de conexión SSH_OLD_DHGEX es verdadera en [1], el segundo argumento p se asigna a cp en [2] y luego se libera en [3].

La llamada a compat_kex_proposal() está dentro de la función do_ssh2_kex():

El cp=p liberado de compat_kex_proposal() se refiere al argumento options.kex_algorithms.

Al buscar kex_algorithms en el código fuente, nos encontramos con assemble_algorithms del fallo en el informe de Bugzilla:

ASSEMBLE es una macro para llamar a la función kex_assemble_names():

La función kex_assemble_names() se llama con la dirección de o->kex_algorithms como su primer argumento (que es listp). Aquí es donde ocurre la segunda liberación.

Debido a que el identificador options.kex_algorithms se libera y se convierte en un puntero colgante, se libera una vez más, lo que causa una doble liberación.

Pero, ¿dónde se establece la opción SSH_OLD_DHGEX?

Dentro de la función compat_banner(), que determina los indicadores de errores a partir del banner del protocolo SSH. Una estructura llamada check[] enumera todos los IDs de clientes SSH y sus indicadores. El siguiente fragmento muestra los IDs de clientes a los que se les asigna la opción SSH_OLD_DHGEX. También podemos ver que WinSCP podría ser capaz de desencadenar este comportamiento.

Prueba de concepto

Optamos por crear una prueba de concepto de denegación de servicio en Python debido a su flexibilidad y portabilidad. La prueba de concepto desencadena la doble liberación usando el paquete paramiko y provoca un fallo de aborto.

paramiko es una implementación SSH en Python ampliamente utilizada, que ofrece funcionalidad tanto de servidor como de cliente. Para el PoC, cambiamos el banner de versión del cliente que se conecta para reflejar un cliente obsoleto como PuTTY v0.64.

Disponible en nuestro repositorio de GitHub.

Prueba de concepto de RCE

El exploit asigna otra estructura llamada EVP_AES_KEY en lugar del options.kex_algorithms liberado. Luego se libera nuevamente cuando ocurre la doble liberación. Después sobrescribe su contenido con otro chunk usando authctxt->user o authctxt->style.

Cuando EVP_Cipher() intente usar este EVP_AES_KEY más tarde, usará ese chunk que lo sobrescribió con datos controlados por el atacante.

Impacto de la vulnerabilidad

El demonio de OpenSSH escucha conexiones de los clientes. Hace un fork de un nuevo demonio para cada conexión entrante. Los demonios bifurcados manejan el intercambio de claves, el cifrado, la autenticación, la ejecución de comandos y el intercambio de datos.

La vulnerabilidad es una doble liberación que teóricamente puede explotarse para denegación de servicio, como lo demuestra nuestra prueba de concepto, y posiblemente para ejecución remota de código (RCE), aunque desarrollar un exploit funcional se considera difícil debido a las medidas de seguridad existentes, como un sandbox y el mecanismo de separación de privilegios. Para la denegación de servicio, ten en cuenta que solo los demonios bifurcados fallan, debido a una violación del sandbox al intentar llamar a writev(), por lo que deja al demonio principal del servidor libre para manejar nuevos clientes.

Esta vulnerabilidad recibió una calificación de severidad Alta por las siguientes razones:

1. No se requieren prerrequisitos. Una configuración predeterminada es vulnerable.

2. Cuando no se aplican mitigaciones de explotación de memoria (como ASLR o NX), RCE es posible, según una publicación reciente.

3. En cuanto a un ataque de Denegación de Servicio, hacer fallar un proceso de trabajo bifurcado es mucho menos grave que un DoS que haga fallar un demonio importante, pero ambos recibirán una calificación CVSS de impacto en la Disponibilidad “Alta”.

4. Ten en cuenta que OpenSSH ha implementado medidas de seguridad como un sandbox y el mecanismo de separación de privilegios, pero no deberían reducir la severidad del posible ataque RCE.

Objetivos de la vulnerabilidad

La vulnerabilidad aplica solo a OpenSSH versión 9.1p1 con una configuración predeterminada, lo que significa que no se requieren prerrequisitos.