💡 Perché questa vulnerabilità è interessante

Questa vulnerabilità interessa MiniShare 1.4.1, un server HTTP Windows leggero, non più supportato, progettato per la semplice condivisione locale di file. Il software è stato scritto senza tenere a mente le pratiche di sicurezza moderne. Ciò che rende questo caso particolarmente interessante dal punto di vista didattico è la combinazione di fattori coinvolti:

• Nessuna autenticazione richiesta. Il metodo HTTP PUT viene elaborato senza alcun controllo delle credenziali. Qualsiasi attaccante remoto sulla rete può attivare la vulnerabilità con una singola richiesta appositamente creata.
• Metodo di protocollo standard come vettore di attacco. L'overflow viene attivato tramite una richiesta HTTP PUT, non un protocollo personalizzato o un comando oscuro. Questo illustra come i metodi di protocollo standard e ben noti possano trasportare payload di sfruttamento con la stessa efficacia delle interfacce proprietarie.
• Sovrascrittura diretta di EIP. L'overflow raggiunge e sovrascrive direttamente l'indirizzo di ritorno salvato, rendendo questo un classico overflow del buffer stack vanilla senza coinvolgere la catena SEH.
• Multipli CVE, stesso binario. CVE-2018-19861, CVE-2018-19862 e CVE-2019-17601 descrivono la stessa classe di vulnerabilità nello stesso software. Sono state assegnate voci CVE diverse perché ricercatori diversi hanno segnalato diversi metodi HTTP o endpoint, ma quando il binario viene reverse engineering, diventa chiaro che condividono tutti la stessa causa principale: input non sanificato copiato in un buffer stack di dimensione fissa senza validazione della lunghezza.

Questa combinazione rende CVE-2020-13768 un eccellente caso per insegnare i fondamenti dello sfruttamento degli overflow del buffer basati su rete in uno scenario realistico senza autenticazione.