Nel suo rapporto, Mantas menziona l'uso di una versione obsoleta di PuTTY, la 0.64, allegando anche una traccia di backtrace relativa all'abort causato dalla doppia free.

Analisi della Ricerca

Per approfondire, abbiamo configurato un ambiente con la versione vulnerabile di OpenSSH 9.1p1 e recuperato una copia della vecchia versione 0.64 di PuTTY, rilasciata 8 anni fa, il 28 febbraio 2015.

Dopo aver tentato di connettersi con PuTTY 0.64 al server OpenSSH vulnerabile, è stato restituito il seguente errore:

Poiché gli algoritmi di scambio chiavi del client obsoleto non sono supportati dalla nuova versione di OpenSSH, abbiamo modificato il file sshd_config aggiungendo la seguente riga a /etc/ssh/sshd_config : KexAlgorithms +diffie-hellman-group1-sha1

Dopo aver riavviato il server SSH e riprovato, è stato restituito il seguente errore:

Dopo aver aggiunto un'altra riga di configurazione al file sshd_config, siamo riusciti a connetterci al server OpenSSH vulnerabile e a riprodurre il crash:

HostKeyAlgorithms +ssh-rsa

Eseguendo il server in modalità di debug (usando il flag -ddd), è stato restituito il seguente messaggio di debug:

ssh_sandbox_violation: unexpected system call (arch:0xc000003e,syscall:20 @ 0x7fd7473fb771) [preauth]

Il numero di syscall 20 corrisponde a writev(), che coincide con il rapporto su Bugzilla.

Si noti che le modifiche alla configurazione effettuate servivano solo a riprodurre la vulnerabilità tramite PuTTY e non sono necessarie per sfruttarla. Come vedremo nel PoC, la configurazione predefinita è vulnerabile.

Dettagli Approfonditi della Vulnerabilità

Abbiamo iniziato esaminando il commit di correzione che indica compat_kex_proposal() come responsabile della doppia free. Quando l'opzione di compatibilità della connessione SSH_OLD_DHGEX è vera in [1], il secondo argomento p viene assegnato a cp in [2] e successivamente liberato in [3].

La chiamata a compat_kex_proposal() avviene all'interno della funzione do_ssh2_kex():

Il puntatore cp=p liberato in compat_kex_proposal() si riferisce all'argomento options.kex_algorithms.

Cercando kex_algorithms nel codice sorgente, abbiamo incontrato assemble_algorithms menzionato nel crash del rapporto su Bugzilla:

ASSEMBLE è una macro che chiama la funzione kex_assemble_names():

La funzione kex_assemble_names() viene chiamata con l'indirizzo di o->kex_algorithms come primo argomento (ovvero listp). È qui che avviene la seconda free.

Poiché l'handle options.kex_algorithms viene liberato e diventa un puntatore pendente, viene liberato nuovamente, causando una doppia free.

Ma dove viene impostata l'opzione SSH_OLD_DHGEX?

All'interno della funzione compat_banner(), che determina i flag di bug a partire dal banner del protocollo SSH. Una struct chiamata check[] elenca tutti gli ID dei client SSH e i relativi flag. Il seguente snippet mostra gli ID client a cui viene assegnata l'opzione SSH_OLD_DHGEX. Possiamo anche notare che WinSCP potrebbe essere in grado di innescare questo comportamento.

Proof-of-Concept

Abbiamo scelto di creare un Proof-of-Concept in Python per Denial of Service grazie alla sua flessibilità e portabilità. Il proof-of-concept innesca la doppia free utilizzando il pacchetto paramiko e causa un crash con abort.

paramiko è un'implementazione SSH in Python molto diffusa, che fornisce funzionalità sia lato server che lato client. Per il PoC abbiamo modificato il banner della versione del client di connessione per farlo apparire come un client obsoleto, ad esempio PuTTY v0.64.

Disponibile nel nostro repository GitHub.

Proof-of-Concept per RCE

Lo exploit alloca un'altra struct chiamata EVP_AES_KEY al posto del puntatore liberato options.kex_algorithms. Questa viene poi liberata nuovamente quando si verifica la doppia free. Successivamente, il suo contenuto viene sovrascritto con un altro chunk usando authctxt->user o authctxt->style.

Quando EVP_Cipher() successivamente tenta di utilizzare questa EVP_AES_KEY, userà il chunk che l'ha sovrascritta con dati controllati dall'attaccante.

Impatto della Vulnerabilità

Il demone OpenSSH resta in ascolto delle connessioni dai client. Per ogni connessione in arrivo, crea un nuovo demone figlio tramite fork. I demoni figli gestiscono lo scambio di chiavi, la crittografia, l'autenticazione, l'esecuzione dei comandi e lo scambio di dati.

La vulnerabilità è una doppia free che, in teoria, può essere sfruttata per un denial of service, come dimostrato dal nostro Proof-of-Concept, e possibilmente per l'esecuzione remota di codice (RCE), sebbene lo sviluppo di uno exploit funzionante sia considerato difficile a causa delle misure di sicurezza presenti, come la sandbox e il meccanismo di Privilege Separation. Per quanto riguarda il denial of service, si noti che solo i demoni figli vanno in crash, a causa di una violazione della sandbox mentre si tenta di chiamare writev(), lasciando quindi il demone principale libero di gestire nuovi client.

A questa vulnerabilità è stato assegnato un livello di gravità Alto per i seguenti motivi:

1. Non sono richiesti prerequisiti. Una configurazione predefinita è vulnerabile.

2. Quando non vengono applicate mitigazioni per lo sfruttamento della memoria (come ASLR o NX), la RCE è possibile, secondo una pubblicazione recente.

3. Per quanto riguarda un attacco Denial of Service, mandare in crash un processo worker figlio è molto meno grave di un DoS che manda in crash un demone importante, ma entrambi riceveranno un rating CVSS di impatto sulla Disponibilità "Alto".

4. Si noti che OpenSSH ha messo in atto misure di sicurezza come la sandbox e il meccanismo di Privilege Separation, ma queste non dovrebbero ridurre la gravità del possibile attacco RCE.

Target della Vulnerabilità

La vulnerabilità si applica solo alla versione 9.1p1 di OpenSSH con configurazione predefinita, il che significa che non sono richiesti prerequisiti.