Pixel Flood DoS - CVE-2024-22393 PoC

Bug Pixel Flood per Server Web

Una leggera prova di concetto per testare la vulnerabilità di esaurimento memoria Pixel Flood nelle applicazioni web che eseguono versioni vulnerabili di Apache Answer.

Indice

• Descrizione
• Dettagli Tecnici
• Versioni Affette
• Requisiti
• Utilizzo
• Passaggi PoC
• Rilevamento
• Mitigazione
• Consigli per Bug Bounty
• Riferimenti
• Disclaimer

Descrizione

Questo repository contiene una prova di concetto per CVE-2024-22393, una vulnerabilità critica in Apache Answer (versioni fino alla 1.2.1) che consente ad attaccanti autenticati di mandare in crash il server utilizzando un file immagine appositamente manipolato. L'attacco è noto anche come "Pixel Flood" o "Image Dimension DoS."

Dettagli Tecnici

L'exploit funziona caricando una piccola immagine (circa 5KB) con metadati EXIF falsificati che dichiarano dimensioni massive (es. 64.250 x 64.250 pixel). Quando il server vulnerabile tenta di elaborare questa immagine, cerca di allocare memoria per oltre 4,1 miliardi di pixel, causando un completo esaurimento della memoria e il crash dell'applicazione.

Versioni Affette

• Vulnerabile: Apache Answer versioni fino alla 1.2.1
• Corretto: Apache Answer versione 1.2.5 e successive

Requisiti

• Il target deve eseguire Apache Answer (v1.2.1 o precedente)
• Un account utente valido sull'applicazione target
• Funzionalità di caricamento immagini accessibile

Utilizzo

Questo repository contiene un file immagine malevolo (pixel-flood.jpg) creato per attivare il bug di esaurimento memoria.

Passaggi PoC

1. Identificare il Target - Trovare siti web che eseguono Apache Answer

   • Cercare "Powered by Apache Answer" nel footer
   • Utilizzare Google dork: "Powered by Apache Answer" o inurl:/questions intitle:"Apache Answer"
   • Utilizzare Wappalyzer o BuiltWith per rilevare la tecnologia

2. Autenticazione - Accedere con un account utente valido

3. Caricamento - Navigare verso qualsiasi funzionalità di caricamento immagini e caricare pixel-flood.jpg

4. Verifica - Monitorare la risposta del server

   • Se il sito diventa non responsivo o restituisce errori 503/504
   • Se l'applicazione va completamente in crash
   • Se l'utilizzo della memoria aumenta drasticamente prima del fallimento

5. Documentare - Acquisire prove per il report

   • Screenshot del processo di caricamento
   • Messaggi di errore o risposte di timeout
   • Indisponibilità del server dopo il caricamento

Metodo di Test Alternativo

# Utilizzando cURL (adattare l'endpoint se necessario)
curl -X POST -F "[email protected]" https://target-site.com/api/upload -b "session=cookie"

Rilevamento

• Sintomi: l'applicazione diventa lenta, non risponde o si blocca completamente
• Log Server: cercare voci di errore relative a "OutOfMemoryError", "excessive memory allocation" o "image processing timeout"
• Consumo Risorse: monitorare l'utilizzo della RAM prima e dopo il caricamento
• Utensili: utilizzare top, htop o strumenti di monitoraggio del cloud per osservare picchi improvvisi

Mitigazione

1. Aggiornamento: aggiornare Apache Answer alla versione 1.2.5 o successiva
2. Validazione Immagini: implementare limiti lato server sulle dimensioni delle immagini (es. max 4096x4096 pixel)
3. Limiti di Memoria: configurare limiti di memoria dei processi (memory_limit in PHP, -Xmx in Java, ecc.)
4. Web Application Firewall (WAF): bloccare caricamenti con metadati EXIF sospetti
5. Timeout: impostare timeout di elaborazione delle immagini rigorosi
6. Whitelist di Formati: accettare solo formati immagine strettamente necessari

Consigli per Bug Bounty

• Ambito: assicurarsi che Apache Answer sia nell'ambito del programma prima di testare
• Danno Minimo: utilizzare dimensioni immagine moderate (es. 5000x5000) invece di 64.000x64.000 per evitare crash reali
• Report Professionale: includere l'output della scansione, screenshot, e passaggi di riproduzione
• Stima Impatto: quantificare il potenziale impatto (es. "Questo exploit potrebbe far crashare un'istanza con 16GB di RAM in secondi")

Riferimenti

• Avviso Apache ufficiale CVE-2024-22393
• NVD - CVE-2024-22393
• Documentazione Apache Answer

Disclaimer

Questo strumento è fornito solo per scopi educativi e di test autorizzati. L'autore non si assume alcuna responsabilità per uso improprio o danni causati da questo software. Testare solo su sistemi di cui si possiede l'autorizzazione esplicita.