sh4den/cve-2022-23093El desbordamiento de búfer ICMP de FreeBSD, poc de desbordamiento de búfer de freebsd
El shellcode que se usa por defecto es FreeBSD/x86-64 - execve - 28 bytes de Gitsnik, cámbialo y pon el tuyo propio para comenzar.
La utilidad ping, utilizada para solicitar un ICMP ECHO_RESPONSE de un host o gateway, se invoca con un objetivo IPv4, ya sea IPv4-host o IPv4-mcast-group, a través del datagrama obligatorio ECHO_REQUEST del protocolo ICMP. El datagrama ECHO_REQUEST consta de una cabecera IP e ICMP, seguida de un "struct timeval" y un número variable de bytes de relleno para llenar el paquete.
Según el aviso de seguridad del proyecto FreeBSD, la utilidad ping recupera paquetes IP sin procesar de la red para procesar las respuestas dentro de la función pr_pack(). En el procesamiento de respuestas, ping reconstruye la cabecera IP, la cabecera ICMP y, si está presente, un "paquete citado" que representa el paquete que causó el error ICMP. El paquete citado también incluye una cabecera IP y una cabecera ICMP.
La función pr_pack() copia las cabeceras IP e ICMP recibidas en búferes de pila para su posterior procesamiento. Sin embargo, no tiene en cuenta la posibilidad de que haya cabeceras de opciones IP después de la cabecera IP, ya sea en la respuesta o en el paquete citado. En presencia de opciones IP, pr_pack() desborda el búfer de destino hasta en 40 bytes.
La utilidad ping se ejecuta en el espacio de usuario y, al invocar el comando ping, se ejecuta el binario ubicado en /sbin/ping. El código fuente de la utilidad está disponible públicamente en el código fuente de FreeBSD. La función vulnerable, pr_pack(), imprime la información de respuesta del paquete ICMP en stdout en un formato de cadena, como "64 bytes from 1.3.3.7: icmp_seq=1 ttl=55 time=13.7 ms."
El paquete ICMP, tanto en la solicitud como en la respuesta, comprende cabeceras IP con un campo de Opciones opcional, como se ilustra en el diagrama anterior. En un ataque malicioso, estas Opciones IP están habilitadas y se llenan con bytes no nulos.
Si un paquete ICMP está mal formado o se manipula deliberadamente en ruta hacia el host de destino, y las Opciones IP están habilitadas en la solicitud de eco original, la función pr_pack() no puede asignar suficiente espacio en la pila para acomodar la presencia de las Opciones IP, lo que resulta en un desbordamiento de pila.
En estos casos de error, la respuesta del host de destino también puede incluir un "paquete citado" en la sección de datos, identificando el paquete específico que causó el error ICMP. La función pr_pack() desborda la pila cuando el paquete citado incluye cabeceras ICMP.
