CVE-2022-24834 公開エクスプロイトの改良

著者

Conviso リサーチチーム

説明

Ricerca Security (@RicercaSec) のチームは、Redis に含まれる Lua インタプリタにおいて、興味深い脆弱性 (CVE-2022-24834) を発見し、正常にエクスプロイトしました。この脆弱性は cjson ライブラリのヒープオーバーフローであり、詳細なレポートはこちらにあります。

いくつかのハードコードされたオフセット [2] [3] に気づきました。これらはテストしたい人にとって不便になる可能性があるため、削除することにしました。主な目標は、より汎用的にし、Lua の内部について少し学ぶことでした。

行った改良点

• 任意のメモリアドレスをより簡単に読み取るために、巨大な文字列を使用しました。
• スタックと libc のアドレスを漏洩させるために Lua コルーチンを使用しました。この手法は Saelo (@5aelo) によって文書化されています。
• シンボル解決関数 (local system_addr = resolve_symbol_gnu(libc_leak, "system")) を含めました。
• 自動ガジェットファインダーを含めました。
• 元の exploit.py を pwntools を使用するように変更しました。
• exploit.py にリバースシェルハンドラを追加しました。

テスト

• Redis 7.0.11 on Ubuntu 20.04 (自身のコンパイル経由) - SUCCESS
• Redis 7.0.11 on Ubuntu 20.04 (apt 経由、Redis 公式リポジトリ使用) - SUCCESS
• Redis 7.0.11 on Ubuntu 20.04 (Docker イメージ redis:7.0.11 経由) - SUCCESS
• Redis 6.2.12 on Ubuntu 20.04 (Docker イメージ redis:6.2.12 経由) - SUCCESS
• Redis 7.0.11 on Debian 11 (apt 経由、Redis 公式リポジトリ使用) - SUCCESS
• Redis 5.0.7 on Ubuntu 20.04 (apt 経由) - CRASH

クレジット

• @RicercaSec - 脆弱性の発見、優れたレポート、初期エクスプロイトに対して
• @5aelo - コルーチン手法に対して

デモ

バージョン 6.2.12

バージョン 7.0.11

参考文献

[1] https://ricercasecurity.blogspot.com/2023/07/fuzzing-farm-4-hunting-and-exploiting-0.html

[2] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L341

[3] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L362-L365

[4] https://saelo.github.io/posts/pwning-lua-through-load.html