halcy0nic/cve-2022-34556Preuve de concept pour CVE-2022-34556
Il a été découvert que PicoC v3.2.2 contient un déréférencement de pointeur nul dans variable.c. Tout projet ou bibliothèque qui utilise Picoc est également concerné par ce problème. Un exemple serait picoc-js.
Pour reproduire la vulnérabilité de déréférencement de pointeur nul dans PicoC, nous devons d'abord télécharger et compiler une version vulnérable (v3.2.2) de la bibliothèque et de l'interpréteur PicoC :
git clone https://github.com/jpoirier/picoc.git
cd picoc
git checkout a97d94fa3d4d35c6b78b7de69faac7643e34de22
make
Exécutez l'interpréteur en mode script sur le fichier poc.c inclus dans ce dépôt :
$ ./picoc -s poc.c
Vous obtiendrez une erreur de segmentation et le programme plantera. Cela résulte d'un déréférencement de pointeur nul qui n'est pas intercepté ou géré par la bibliothèque ou l'interpréteur. Nous pouvons recompiler le projet avec l'analyseur d'adresses (ASAN) pour mieux comprendre où cela se produit. Ajoutons -fsanitize=address à la variable CFLAGS dans le Makefile et recompilons la bibliothèque :
CFLAGS=-Wall -g -std=gnu11 -pedantic -DUNIX_HOST -DVER=\"`git show-ref --abbrev=8 --head --hash head`\" -DTAG=\"`git describe --abbrev=0 --tags`\" -fsanitize=address
Recompilez la bibliothèque et l'interpréteur (depuis le répertoire racine picoc) :
make clean
make
Lorsque nous exécutons notre programme, nous obtenons la sortie suivante d'ASAN qui nous montre que le déréférencement de pointeur nul a lieu à la ligne 519 dans variable.c :
AddressSanitizer:DEADLYSIGNAL
=================================================================
==157769==ERROR: AddressSanitizer: SEGV on unknown address 0x000000000018 (pc 0x55b55571240e bp 0x7ffe4f5c39b0 sp 0x7ffe4f5c3980 T0)
==157769==The signal is caused by a READ memory access.
==157769==Hint: address points to the zero page.
#0 0x55b55571240e in VariableDereferencePointer /dev/shm/picoc/variable.c:519
#1 0x55b5556fefea in ExpressionStackPushDereference /dev/shm/picoc/expression.c:430
#2 0x55b555701881 in ExpressionPrefixOperator /dev/shm/picoc/expression.c:687
#3 0x55b5557053d5 in ExpressionStackCollapse /dev/shm/picoc/expression.c:1257
#4 0x55b555706e35 in ExpressionParse /dev/shm/picoc/expression.c:1553
#5 0x55b5556fb6a0 in ParseStatement /dev/shm/picoc/parse.c:646
#6 0x55b5556fd380 in PicocParse /dev/shm/picoc/parse.c:897
#7 0x55b555715d0e in PicocPlatformScanFile platform/platform_unix.c:129
#8 0x55b5556ec213 in main /dev/shm/picoc/picoc.c:62
#9 0x7f15bd767189 in __libc_start_call_main ../sysdeps/nptl/libc_start_call_main.h:58
#10 0x7f15bd767244 in __libc_start_main_impl ../csu/libc-start.c:381
#11 0x55b5556ebd40 in _start (/dev/shm/picoc/picoc+0x16d40)
AddressSanitizer can not provide additional info.
SUMMARY: AddressSanitizer: SEGV /dev/shm/picoc/variable.c:519 in VariableDereferencePointer
==157769==ABORTING
519: *DerefType = PointerValue->Typ->FromType;