1. リポジトリをクローン:

   root@kitploit:~

   git clone --recursive https://github.com/bohemian-miser/CVE-2025-65018_Exploit_Challenge.git
   cd CVE-2025-65018_Exploit_Challenge
   

2. チャレンジをビルド（脆弱なlibpngを含む）:

   root@kitploit:~

   ./build.sh
   

   このスクリプトは以下を行います:

   • 同梱の libpng ソースコードを構成し、パッチを適用して脆弱性を有効にします。
   • 静的 libpng ライブラリをビルドします。
   • victim バイナリをコンパイルします。

🔍 脆弱性の詳細

この脆弱性は、libpng が16ビットの入力を8ビットの出力に変換する際にインターレース画像を処理する方法に存在します。

1. 不一致: アプリケーションは8ビットの出力形式 (PNG_FORMAT_RGBA) を要求します。libpng は8ビットデータに十分なバッファサイズを割り当てます。
2. 欠陥: インターレースパス (Adam7) の処理中に、内部関数 png_combine_row が出力バッファに対して入力の16ビットのビット深度でデータを誤って書き込みます。
3. 結果: すべてのピクセルについて、チャネルごとに1バイトではなく2バイトを書き込むため、その行の期待されるデータ量の2倍を書き込むことになり、ヒープバッファがオーバーフローします。

💥 エクスプロイトのウォークスルー

1. ターゲットアドレスの特定

バイナリには、execl("/bin/sh", ...) を呼び出すヘルパー関数 win() が含まれています。そのアドレスが必要です。このバイナリは -no-pie でコンパイルされているため、アドレスは静的です。

ターゲットアドレス: 0x4013e0

2. ペイロードの作成 (solve.py)

有効なPNGを作成する必要があります:

1. 脆弱なコードパスをトリガーするためにインターレース (Adam7) であること。
2. ヘッダー (IHDR) で16ビット深度を指定していること。
3. 16ビット値として書き込まれると、目的のペイロード (win のアドレス) を形成するピクセルデータを持つこと。

solve.py スクリプトは以下を行います:

• 32x32 の画像を構築します。
• Logger 構造体までのオフセット（バッファの開始から 4096 バイト後）を計算します。
• 最終行のピクセルデータに win アドレスを配置します。
• データを IDAT チャンクに圧縮します。

ペイロードレイアウト:

win アドレス 0x4013e0 (リトルエンディアン: E0 13 40 00 ...) を16ビットRGBピクセルにエンコードする必要があります。

• 各16ビットチャネルは2バイトです。
• アドレスのバイトを最終行の特定ピクセルのRed、Green、Blueチャネルにマッピングします。

3. エクスプロイトの実行

悪意のあるPNGを生成:

これにより exploit.png が作成されます。

victimを実行:

期待される出力:

🐛 GDB解析

オーバーフローの動作を確認するには、GDBを使用できます。

1. 脆弱な呼び出しの前にブレークポイントを設定:

2. 上書きを監視: Logger 構造体はオフセット4096にあります。ターゲットの関数ポインタを監視しましょう。

3. トリガー: GDBは、png_combine_row が関数ポインタに書き込むと停止します。

これにより、libpng が私たちのポインタを win のアドレスで上書きしたことが確認できます!

📁 ファイル

• victim.c: 脆弱なソースコード。
• solve.py: エクスプロイト生成スクリプト。
• libpng-src/: libpng (v1.6.37) のソースコード。
• build.sh: すべてをコンパイルするスクリプト。
• Makefile: victimバイナリのビルドシステム。