CVE-2017-12561 - HPE iMC dbman Use-After-Free

Análisis técnico de CVE-2017-12561, una vulnerabilidad de use-after-free en el servicio dbman de Hewlett Packard Enterprise Intelligent Management Center (iMC).

Descripción general

La vulnerabilidad afecta el manejo del opcode 10012 por parte del servicio. La gestión incorrecta del ciclo de vida de los objetos permite que un objeto previamente liberado sea accedido nuevamente, lo que resulta en corrupción de memoria.

Según ZDI-17-836, la falla es alcanzable sin autenticación y puede permitir la ejecución remota de código con privilegios SYSTEM. El servicio dbman escucha en el puerto TCP 2810 por defecto.

Acerca de esta investigación

Este repositorio contiene mi análisis de ingeniería inversa y la prueba de concepto que lo acompaña. El análisis cubre:

• Comparación de binarios usando IDA y Diaphora para examinar los cambios entre los binarios vulnerable y parcheado.
• Análisis del manejo de comandos del servicio y la decodificación ASN.1/BER.
• Depuración del crash e investigación de la limpieza de objetos y su posterior reutilización en el ciclo de vida del manejo de eventos de ACE.

Las pruebas documentadas se realizaron en Windows Server 2008 R2 Datacenter x64. El análisis demuestra un crash e investiga su causa raíz de use-after-free; no demuestra un exploit completo de ejecución remota de código.

Análisis

Lea el análisis técnico completo.

Créditos y referencias

• Ingeniería inversa y análisis: Filipe Oliveira (Everdoh).
• Descubrimiento original de la vulnerabilidad: Steven Seeley (mr_me) de Offensive Security, según lo acreditado por ZDI.
• Aviso: ZDI-17-836, publicado el 3 de octubre de 2017.