CVE-2025-47917 एक्सप्लॉइट (mbedTLS में उपयोग-के-बाद-मुक्त)

लेखक : Byte Reaper

टेलीग्राम : @ByteReaper0

CVE : CVE-2025-47917

कमजोरी : mbedTLS 3.6.4 नाम पार्सिंग में उपयोग-के-बाद-मुक्त (UAF)

विवरण

इस रिपॉजिटरी में mbedTLS लाइब्रेरी के mbedtls_x509_string_to_names() नाम पार्सिंग फंक्शन में एक उपयोग-के-बाद-मुक्त कमजोरी को लक्षित करने वाला एक एक्सप्लॉइट शामिल है। एक सफल एक्सप्लॉइट फ्री किए गए हीप मेटाडेटा को हाईजैक करके और नियंत्रण प्रवाह को इंजेक्टेड शेलकोड पर रीडायरेक्ट करके रूट विशेषाधिकारों के साथ मनमाना कोड निष्पादन प्रदान करता है।

पूर्वापेक्षाएँ

1. ऑपरेटिंग सिस्टम: लिनक्स (काली लिनक्स पर परीक्षण किया गया)

2. रूट विशेषाधिकार: ASLR को अक्षम करने और इंजेक्टेड शेलकोड को निष्पादित करने के लिए आवश्यक

3. mbedTLS विकास लाइब्रेरीज़ (mbedTLS < 3.6.4):

   root@kitploit:~

   sudo apt update
   sudo apt install -y libmbedtls-dev
   

4. बिल्ड टूल्स: gcc, make (वैकल्पिक)

संकलन

अपनी स्थापना के अनुसार इन्क्लूड/लाइब्रेरी पथ समायोजित करें:

gcc /path/to/exploit.c \
    -I/usr/local/include \
    -L/usr/local/lib \
    -lmbedtls -lmbedx509 -lmbedcrypto \
    -Wl,-rpath,/usr/local/lib \
    -o exploit_UAF

उपयोग

1. ASLR अक्षम करें (एड्रेस स्पेस लेआउट रैंडमाइज़ेशन):

   root@kitploit:~

   echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
   

2. एक श्रोता तैयार करें आक्रमणकारी मशीन पर रिवर्स शेल के लिए (पोर्ट 4454):

   root@kitploit:~

   nc -lvnp 4454
   

3. एक्सप्लॉइट चलाएँ रूट विशेषाधिकारों के साथ:

   root@kitploit:~

   sudo ./exploit_UAF
   

शोषण कार्यप्रवाह

1. ASLR जाँच: checkAslr() यह सुनिश्चित करने के लिए /proc/sys/kernel/randomize_va_space पढ़ता है कि ASLR अक्षम है। सक्षम होने पर बाहर निकलता है।
2. पहला mbedtls_x509_string_to_names() कॉल: एक खाली नामित-डेटा सूची प्रारंभ करता है।
3. हीप स्प्रे: paddingChunk() शेलकोड की ओर इशारा करते हुए नियंत्रित सामग्री के साथ मुक्त सूची प्रविष्टियों को भरने के लिए कई नकली नामित-डेटा संरचनाएं आवंटित करता है।
4. दूसरा mbedtls_x509_string_to_names() कॉल: उपयोग-के-बाद-मुक्त स्थिति को ट्रिगर करता है, नकली मेटाडेटा वाले मुक्त किए गए चंक का पुन: उपयोग करता है।
5. शेलकोड इंजेक्शन: शेलकोड को mmap() के माध्यम से RWX मैप किया जाता है, कॉपी किया जाता है, और दूषित named_data->val.p पॉइंटर के माध्यम से निष्पादित किया जाता है।

रिवर्स शेल शेलकोड

• लक्ष्य IP: 192.168.92.187
• लक्ष्य पोर्ट: 4454

शेलकोड एक socket + connect + dup2 अनुक्रम निष्पादित करता है, फिर execve("/bin/sh").

नैतिक और कानूनी अस्वीकरण

• यह कोड केवल अधिकृत सुरक्षा अनुसंधान और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है।
• उन प्रणालियों पर अनधिकृत उपयोग जिनके लिए आपके पास स्पष्ट अनुमति नहीं है, अवैध और अनैतिक है।
• किसी भी नेटवर्क या होस्ट पर परीक्षण करने से पहले हमेशा लिखित अनुमति प्राप्त करें।

लाइसेंस

MIT