Skip to content
KitploitKITPLOIT
StrumentiExploitsBlog
Log in
Invia
StrumentiExploitsBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

FeedContattoPrivacy© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
ats-cripts-rri-uaf — Apache Traffic Server 10.2.0 - Alta - Remoto - Crash - Cripts From/To URL UAF | Kitploit
Strumenti/GitHubGitHub/abraxas/ats-cripts-rri-uaf
Analisi delle VulnerabilitàExploitSicurezza WebLab e Pratica
GitHubabraxas/ats-cripts-rri-uaf

ats-cripts-rri-uaf

Apache Traffic Server 10.2.0 - Alta - Remoto - Crash - Cripts From/To URL UAF

Vedi Repository
14 giorni faNon ancora revisionato

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi

Abraxas Labs - ats-cripts-rri-uaf

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  [email protected]  ·  ats-cripts-rri-uaf

ats-cripts-rri-uaf

Classe: Crash Portata: Remota

Apache Traffic Server 10.2.0 (b1df7334) - Apache Software Foundation

Cripts Remap::From / To URL rilegge ancora lo stack TSRemapRequestInfo dopo che TSRemapDoRemap è ritornato. RemapPlugins alloca rri sullo stack. Il contesto ne conserva il puntatore. reset() elimina gli unique_ptr; successivamente Get() / Host::GetSV passa l'RRI morto a TSUrlHostGet. Fatal: sdk_sanity_check_mbuffer quindi SIGABRT.

Client::URL è stato corretto per non farlo. Lua azzerava rri dopo il remap. Cripts From/To non lo faceva. Il valore predefinito di ENABLE_CRIPTS è disattivato. Nessun cripts sul remap standard.

IDnessuna CVE al momento
ClasseCrash (UAF di RRI sullo stack)
PortataRemota (HTTP non autenticato tramite un cript From/To post-remap)
CWECWE-416
CVSSAlto: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
ProdottoApache Traffic Server
Affetto10.2.0 (b1df7334b39a878971c376da849e8da4984918b6) Cripts From/To URL dopo DoRemap
Autenticazionenessuna
LicenzaGNU Affero GPL v3.0
Labsolo 127.0.0.1:18780

Ho fissato il tag pubblico 10.2.0 peel b1df7334. Il lab è una build da sorgente RelWithDebInfo con Cripts attivo. CONTROL Client::URL 200, il processo è rimasto attivo. POC Host ats-poc SIGABRT uscita 134.

Cosa può fare un attaccante

Colpire un cript di remap che accede all'URL From/To dopo do_remap (do_send_response nel lab). Basta una GET non autenticata.

MetodoSinkPrivilegio
GET non autenticata Host ats-poc tramite un cript do_send_response che chiama Remap::From::URL::Get / To::URL::Getstack TSRemapRequestInfo (RemapPlugins.cc:41-65); deref di rriValid() (Context.hpp:70-73); _initialize (Urls.cc:525-561)Disponibilità (dimostrata nel lab): SIGABRT, uscita 134, connessione resettata. traffic_server termina.
IdemAbort Fatal dell'SDKIntegrità: nessun controllo di RIP. La classe resta Crash. Lab.

Dimostrato nel lab vs dedotto: la morte del processo è dimostrata nel lab (RelWithDebInfo SIGABRT). Non si rivendica corruzione di memoria fino al controllo di RIP.

Richiede: Cripts compilato (ENABLE_CRIPTS=ON) e un cript di remap che accede all'URL From/To dopo DoRemap. Predefinito: no.

Superficie adiacente che resta chiusa

SuperficieLab
Solo CONTROL Client::URL200, processo rimasto attivo
Jail di File::Path::Rebasechiusa su questo pin (CVE-2026-58177 issue 32)
sockaddr di Geo IPEndpointchiusa
Abort su chiave di querychiusa (hash mancante saltato)
Cripts globalirri == nullptr; rriValid() fallisce in modo sicuro senza deref
OOB di istanza / DoRemap-after-Releasechiusa (CVE-2026-58177)
Remap standard / ENABLE_CRIPTS disattivatoil residuo non si applica

Non è CVE-2026-58177 come divulgata. Lua azzerava rri dopo il remap; Cripts From/To non lo faceva.

Lab

python3 ats-cripts-rri-uaf-Abraxas-Labs.py

o

cd lab
./run.sh

Loopback 127.0.0.1:18780. Progetto Compose ats-cripts-rri-uaf. Immagine RelWithDebInfo. Witness ATS-CRIPTS-RRI-UAF-WITNESS. Ultima riga:

SUCCESS ats-cripts-rri-uaf control-http=200 control-alive=yes poc-crash=sigabrt poc-http=None reset=1 ATS-CRIPTS-RRI-UAF-WITNESS

La correzione

Impostare a null il rri del Context quando TSRemapDoRemap ritorna, come fa Lua. Oppure trattare From/To URL come Client::URL: non reinizializzare da RRI negli hook successivi. rriValid() non deve dereferenziare una struct morta. Copiare mapFromUrl / mapToUrl in MLoc di proprietà durante do_remap se il From/To post-remap è una funzionalità.

Fino ad allora, non valutare %{FROM-URL:...} / %{TO-URL:...} (né prendere in prestito quegli oggetti URL) su do_post_remap / do_send_request / do_read_response / do_send_response / do_cache_lookup.

Riferimenti

  • github.com/apache/trafficserver tag 10.2.0 (b1df7334b39a878971c376da849e8da4984918b6)
  • src/proxy/http/remap/RemapPlugins.cc
  • include/cripts/Epilogue.hpp
  • src/cripts/Urls.cc Remap::From::URL / To::URL
  • include/cripts/Context.hpp rriValid
  • CVE-2026-58177 correlati (chiusi): OOB di istanza, Rebase ../, Geo sockaddr, abort della query-key, Client::URL MLoc
  • CWE-416
Scarica lo strumento