Amélioration de l'exploit public CVE-2022-24834

Auteur

Conviso Research Team

Description

L'équipe de Ricerca Security (@RicercaSec) a découvert et exploité avec succès une vulnérabilité intéressante (CVE-2022-24834) dans l'interpréteur Lua inclus avec Redis. Cette vulnérabilité est un débordement de tas dans la bibliothèque cjson, et une analyse détaillée est disponible ici.

Nous avons remarqué des offsets codés en dur [2] [3], qui pourraient représenter un inconvénient pour ceux qui souhaitent la tester, nous avons donc décidé de les supprimer. L'objectif principal était de la rendre plus générique et d'en apprendre un peu plus sur les mécanismes internes de Lua.

Modifications que nous avons apportées

Nous avons utilisé une énorme chaîne pour pouvoir lire des adresses mémoire arbitraires plus facilement ;
Nous avons utilisé la coroutine Lua pour fuiter les adresses de la pile et de libc, cette technique est documentée par Saelo (@5aelo) ;
Nous avons inclus une fonction de résolution de symboles (local system_addr = resolve_symbol_gnu(libc_leak, "system"))
Nous avons inclus un chercheur automatique de gadgets ;
Nous avons modifié le exploit.py original pour utiliser pwntools
Nous avons ajouté un gestionnaire de shell inversé à exploit.py

Tests

Redis 7.0.11 sur Ubuntu 20.04 (via compilation propre) - SUCCÈS
Redis 7.0.11 sur Ubuntu 20.04 (via apt utilisant le dépôt officiel de Redis) - SUCCÈS
Redis 7.0.11 sur Ubuntu 20.04 (via l'image docker redis:7.0.11) - SUCCÈS
Redis 6.2.12 sur Ubuntu 20.04 (via l'image docker redis:6.2.12) - SUCCÈS
Redis 7.0.11 sur Debian 11 (via apt utilisant le dépôt officiel de Redis) - SUCCÈS
Redis 5.0.7 sur Ubuntu 20.04 (via apt) - CRASH