シンボリック実行を利用したNETGEAR R6700v3 のスタックバッファオーバーフローの悪用 (CVE-2022-27646)

はじめに

このリポジトリは、Morion（実世界の (ARMv7) バイナリでシンボリック実行を実験するための概念実証 (PoC) ツール）の機能の一部を示すことを目的としています。具体的な例として、Morion の能力の一部を示します。その例とは、CVE-2022-27646 用の動作するエクスプロイトを作成するプロセスにおいて、Morion がどのように役立つかというものです。CVE-2022-27646 は、NETGEAR R6700v3 ルーターにおけるスタックバッファオーバーフローの脆弱性です（影響を受けるバージョン 1.0.4.120_10.0.91、それ以降のバージョンで修正済み）。

このリポジトリには、チュートリアルを進めるために必要なすべてのファイル（firmware、libcircled、morion、server の各ディレクトリ内）と、Morion の使用方法の説明手順を再現するためのスクリプト（脆弱なARMv7バイナリをエミュレートするスクリプトなど）が含まれています。Morion の動作を示すドキュメント（docs および logs 内）には、以下の章が含まれています：

1. セットアップ - 解析（Morion の実行）とターゲットシステム（ターゲットバイナリ circled の実行）のセットアップ方法を説明します。
2. エミュレーション - 脆弱なターゲットバイナリのエミュレーション方法を説明します。
3. トレーシング - Morion を使用してターゲットバイナリの具体的な実行トレースを記録する方法を説明します。
4. シンボリック実行 - 記録されたトレースをシンボリックに分析するための Morion の使用方法を説明します。
5. 脆弱性 CVE-2022-27646 - 対象となる脆弱性に関する背景情報を提供します。
6. 悪用 - Morion がエクスプロイト作成のプロセスにどのように役立つかを説明します。

参考文献

• Morion PoC ツール:
  • https://github.com/cyber-defence-campus/morion
• NETGEAR R6700v3 の攻略:
  • https://www.synacktiv.com/en/publications/pwn2own-austin-2021-defeating-the-netgear-r6700v3.html
• NETGEAR R6700v3 cicled バイナリのエミュレーション、デバッグ、悪用:
  • https://medium.com/@INTfinity/1-1-emulating-netgear-r6700v3-circled-binary-cve-2022-27644-cve-2022-27646-part-1-5bab391c91f2
  • https://medium.com/@INTfinity/1-2-emulating-netgear-r6700v3-circled-binary-cve-2022-27644-cve-2022-27646-part-2-cf1571493117
  • https://medium.com/@INTfinity/1-3-exploiting-and-debugging-netgear-r6700v3-circled-binary-cve-2022-27644-cve-2022-27646-a80dbaf1245d
• NVRAM エミュレータ:
  • https://github.com/firmadyne/libnvram
• すぐに使えるクロスコンパイルツールチェーン:
  • https://toolchains.bootlin.com/
• その他のツール:
  • https://github.com/ReFirmLabs/binwalk
  • https://github.com/pwndbg/pwndbg
  • https://github.com/slimm609/checksec.sh
  • https://github.com/sashs/Ropper
  • https://github.com/JonathanSalwan/ROPgadget

著者

• Damian Pfammatter, Cyber-Defense Campus (ar S+T)