CVE-2020-16898: “बुरा पड़ोसी”

CVSS स्कोर: 8.8

CVSS वेक्टर: CVSS3.0/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H/E:P/RL:O/RC:C

अवलोकन

13 अक्टूबर को, Microsoft ने घोषणा की कि Windows IPv6 स्टैक में एक अत्यंत गंभीर कमजोरी है, जो एक हमलावर को दुर्भावनापूर्ण रूप से तैयार किए गए पैकेट भेजकर दूरस्थ सिस्टम पर मनमाना कोड निष्पादित करने की अनुमति देती है। MAPP सदस्यों के साथ साझा किया गया प्रूफ-ऑफ-कॉन्सेप्ट अत्यंत सरल और पूरी तरह से विश्वसनीय है। इसके परिणामस्वरूप तत्काल BSOD (ब्लू स्क्रीन ऑफ डेथ) होता है, लेकिन इससे भी महत्वपूर्ण बात यह है कि यह उन लोगों के लिए शोषण की संभावना को इंगित करता है जो Windows 10 और Windows Server 2019 के शमन को दरकिनार करने का प्रबंधन कर सकते हैं। एक शोषण के प्रभाव जो दूरस्थ कोड निष्पादन प्रदान करेगा, व्यापक और अत्यधिक प्रभावशाली होगा, क्योंकि यह उस प्रकार का बग है जिसे वर्मेबल बनाया जा सकता है। संदर्भ में आसानी के लिए, हमने इस कमजोरी का नाम "बुरा पड़ोसी" रखा क्योंकि यह ICMPv6 पड़ोसी खोज "प्रोटोकॉल" के भीतर स्थित है, जो राउटर विज्ञापन प्रकार का उपयोग करता है।

यह दस्तावेज़ McAfee उन्नत खतरा अनुसंधान द्वारा तैयार किया गया है। इसका उद्देश्य नेटवर्क प्रशासकों और सुरक्षा कर्मियों के लिए मूल्यवान अंतर्दृष्टि प्रदान करना है, जो इस कमजोरी को और समझना चाहते हैं और शोषण से बचाव करना चाहते हैं। यहाँ उत्पादित हस्ताक्षर को उत्पादन में उपयोग करने से पहले स्टेजिंग वातावरण में पूरी तरह से विचार और जांच किया जाना चाहिए और लक्ष्य तैनाती के लिए विशिष्ट ट्यूनिंग से लाभ हो सकता है।

यहाँ प्रदान की गई जानकारी बिना सूचना के बदल सकती है, और इसे "जैसी है" प्रदान किया जाता है, सभी दोषों के साथ, किसी विशिष्ट स्थिति या परिस्थिति में जानकारी की सटीकता या प्रयोज्यता की कोई गारंटी या वारंटी के बिना और आपके अपने जोखिम पर उपयोग के लिए। इसके अतिरिक्त, हम किसी भी हस्ताक्षर के लिए किसी भी प्रदर्शन या प्रभावकारिता बेंचमार्क की गारंटी नहीं दे सकते।

हस्ताक्षर

इस कमजोरी के लिए Suricata हस्ताक्षर cve-2020-16898.rules में स्थित है और इसमें निम्नलिखित तर्क शामिल है:

alert icmp any any -> any any (msg:"Potential CVE-2020-16898 Exploit"; lua:cve-2020-16898.lua; sid:202016898; rev:1;)

संबंधित Lua स्क्रिप्ट cve-2020-16898.lua में पाई जा सकती है। इसमें ICMPv6 परत को ठीक से पार्स करने और बुरे पड़ोसी के संभावित शोषण की पहचान करने के लिए आवश्यक तर्क शामिल है, जैसा कि निम्नानुसार है:

एक बार जब हम ICMPv6 परत की शुरुआत का पता लगा लेते हैं, तो हम परत के पहले बाइट का परीक्षण करते हैं ताकि यह सुनिश्चित हो सके कि यह एक राउटर विज्ञापन ICMPv6 पैकेट है (प्रकार = 134) - यदि नहीं, तो हम बाहर निकल जाते हैं।

चूंकि Suricata प्रिमिटिव को ICMPv6 विकल्पों को पार्स करने के लिए अपडेट नहीं किया गया है, हम बस ICMPv6 परत के 17वें बाइट पर कूद जाते हैं, क्योंकि वहाँ से विकल्प शुरू होने चाहिए, यदि मौजूद हैं (पहले 16 बाइट स्थिर-लंबाई वाले फ़ील्ड हैं, RFC 4443 के अनुसार)। वहाँ से, हम प्रत्येक विकल्प पर तब तक लूप करते हैं जब तक पैकेट में बाइट खत्म नहीं हो जाते। प्रत्येक विकल्प के लिए, हम केवल पहले दो बाइट्स में रुचि रखते हैं: क्रमशः विकल्प प्रकार और लंबाई फ़ील्ड। जब हम उन सभी विकल्पों को अनदेखा करते हैं जो RDNSS नहीं हैं, विकल्प प्रकार = 25 (RDNSS) के लिए, हम जाँचते हैं कि क्या लंबाई (विकल्प में दूसरा बाइट) एक सम संख्या है। यदि हाँ, तो हम इसे फ़्लैग करते हैं। यदि नहीं, तो हम जारी रखते हैं। चूंकि लंबाई 8 बाइट्स की वृद्धि में गिनी जाती है, हम लंबाई को 8 से गुणा करते हैं और उतने बाइट्स आगे कूद जाते हैं ताकि अगले विकल्प की शुरुआत पर पहुँच सकें (लंबाई बाइट को घटाकर जिसे हम पहले ही उपभोग कर चुके हैं)।

इस नियम के साथ, हम यह भी सुनिश्चित करने के लिए जाँच करते हैं कि लंबाई कम से कम 3 है, क्योंकि RFC 8106 इसकी आवश्यकता है, लेकिन अंततः यह जाँच अतिश्योक्तिपूर्ण हो सकती है, क्योंकि हम केवल इस बात से चिंतित हैं कि लंबाई सम है या नहीं।