badnack/d_link_880_bugCVE-2017-14948 per D-Link 880 Firmware
In questo piccolo articolo vedremo alcuni bug che ho trovato nei prodotti D-Link. D-Link offre un'ampia gamma di prodotti, inclusi molti diversi modelli di router, con diverse versioni del firmware. In questo documento tratterò le seguenti versioni del firmware: DIR-880L, DIR-868L, DIR-890L, DIR-885L e DIR-895L. Senza ulteriori indugi, iniziamo.
Dato che non possedevo nessuno dei router D-Link e loro forniscono accesso gratuito al loro firmware, ho deciso di trovare bug basandomi solo sull'analisi statica. Nota che, in questa sezione mi riferirò al firmware DIR-880L, gli altri firmware hanno strutture simili.
Dopo aver scaricato e decompresso il firmware DIR-880L, ho scoperto che il suo firmware contiene un intero filesystem squashFS, contenente circa 2160 file. Poiché non volevo considerare ciascuno di essi singolarmente, ho iniziato a cercare quello che gestisce gli input utente.
Dopo aver analizzato i file di configurazione e cercato header HTTP conosciuti, ho infine ristretto la mia attenzione su tre binari, e infine su uno: fileaccess.cgi.
Ecco il disassemblaggio della funzione vulnerabile:
signed int __fastcall content_type(char *a1)
{
char *dest; // [sp+4h] [bp-10h]@1
const char *haystack; // [sp+Ch] [bp-8h]@1
char *haystacka; // [sp+Ch] [bp-8h]@3
dest = a1;
haystack = getenv("CONTENT_TYPE");
if ( !haystack )
return -22;
haystacka = strstr(haystack, "boundary=");
if ( !haystacka )
return -22;
strcpy(dest, haystacka + 9);
return 0;
}
Nel codice sopra, il contenuto della variabile 'CONTENT_TYPE' (puntata dalla variabile haystack) è controllato da un utente (tramite l'intestazione della richiesta HTTP). Il suo contenuto, dopo la parola chiave 'boundary', viene poi copiato in un buffer dest, senza verificare la lunghezza di haystacka. Se si osserva la funzione chiamante (indirizzo 0x1CE6C), si può dedurre che la dimensione di dest è 256 byte. Poiché un attaccante può controllare il contenuto di CONTENT_TYPE, potrebbe inviare la stringa 'boundary=' seguita da almeno 257 caratteri per innescare un buffer overflow.
Altri due bug simili sono stati trovati nello stesso campione di firmware, che coinvolgono il cookie HTTP. Uno di essi è mostrato qui sotto:
v10 = getenv("HTTP_COOKIE");
if ( v10 )
{
strcpy((char *)&v5, &v10[v11]);
v17 = strlen((const char *)&v5);
}
Qui, la variabile v10 punta al cookie utente, che può essere al massimo di 4k byte (secondo la RFC2109). Tuttavia, la variabile v5 è grande 1024 byte (come possiamo dedurre dallo stack frame della funzione). Questo può innescare un buffer overflow.
Questi bug sono stati segnalati e confermati da D-Link.
Questi campioni di firmware presentano una struttura simile a DIR-880L e hanno gli stessi bug relativi agli stessi campi HTTP.