Exploit CVE-2025-47917 (Use-After-Free in mbedTLS)

Autore : Byte Reaper

Telegram : @ByteReaper0

CVE : CVE-2025-47917

Vulnerabilità : Use-After-Free (UAF) nel parsing dei nomi di mbedTLS 3.6.4

Descrizione

Questo repository contiene un exploit che mira a una vulnerabilità Use-After-Free nella funzione di parsing dei nomi mbedtls_x509_string_to_names() della libreria mbedTLS. Un exploit riuscito consente l'esecuzione di codice arbitrario con privilegi di root dirottando i metadati heap liberati e reindirizzando il flusso di controllo verso lo shellcode iniettato.

Prerequisiti

1. Sistema operativo: Linux (testato su Kali Linux)

2. Privilegi di root: richiesti per disabilitare ASLR ed eseguire lo shellcode iniettato

3. Librerie di sviluppo mbedTLS (mbedTLS < 3.6.4):

   root@kitploit:~

   sudo apt update
   sudo apt install -y libmbedtls-dev
   

4. Strumenti di build: gcc, make (opzionale)

Compilazione

Regola i percorsi di include/libreria in base alla tua installazione:

gcc /path/to/exploit.c \
    -I/usr/local/include \
    -L/usr/local/lib \
    -lmbedtls -lmbedx509 -lmbedcrypto \
    -Wl,-rpath,/usr/local/lib \
    -o exploit_UAF

Utilizzo

1. Disabilita ASLR (Address Space Layout Randomization):

   root@kitploit:~

   echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
   

2. Prepara un listener per la reverse shell sulla macchina attaccante (porta 4454):

   root@kitploit:~

   nc -lvnp 4454
   

3. Esegui l'exploit con privilegi di root:

   root@kitploit:~

   sudo ./exploit_UAF
   

Workflow di sfruttamento

1. Controllo ASLR: checkAslr() legge /proc/sys/kernel/randomize_va_space per assicurarsi che ASLR sia disabilitato. Esce se è abilitato.
2. Prima chiamata a mbedtls_x509_string_to_names(): inizializza una lista named-data vuota.
3. Heap Spray: paddingChunk() alloca molte struct named-data finte per riempire le voci della free list con contenuto controllato che punta allo shellcode.
4. Seconda chiamata a mbedtls_x509_string_to_names(): innesca la condizione Use-After-Free, riutilizzando il chunk liberato contenente metadati fittizi.
5. Iniezione dello shellcode: lo shellcode viene mappato come RWX tramite mmap(), copiato ed eseguito tramite il puntatore corrotto named_data->val.p.

Shellcode della Reverse Shell

• IP di destinazione: 192.168.92.187
• Porta di destinazione: 4454

Lo shellcode esegue una sequenza socket + connect + dup2, quindi execve("/bin/sh").

Disclaimer Etico e Legale

• Questo codice è fornito solo per scopi autorizzati di ricerca sulla sicurezza e didattici.
• L'uso non autorizzato contro sistemi per i quali non si dispone di esplicito permesso è illegale e non etico.
• Ottieni sempre un'autorizzazione scritta prima di testare qualsiasi rete o host.

Licenza

MIT