概要

影響を受けるコンポーネントは、dataSIMS 4.5.3のARINC 664-1モジュールです。このモジュールは、所属するモジュールにもかかわらずmilstd1553result.txtと命名された結果ファイルを読み戻します。このファイル名は、スイートのMIL-STD-1553系統から引き継がれたベンダーの遺物であり、影響を受けるモジュールを示すものではありません。攻撃者が整形した過長なバージョンの当該ファイルを供給すると、読み戻し経路で固定サイズのスタックバッファがオーバーフローし、保存されたリターンアドレスが上書きされます。クラッシュはEIPの完全な制御を伴って発生します。

公開されたPoCは1040バイトで、EIPの上書きで停止します。コード実行には至らず、その意図もありませんでした — 悪用可能性（正直な評価）を参照してください。

ペイロードの構造

移植版（py poc/poc_py3.py --layout）の実行で検証されたPoCのフィールドレイアウト：

EIPのオフセットは1007です。 これは!mona findmspやpattern_offset.rbから得られる数字ではありません — 5つの手動調整フィールドの合計です。オリジナルのPoCは、オフセットを解析的に特定するのではなく、リターンアドレスが移動するまでクラッシュを拡大させることで構築されました。私はこれを粉飾せずに明記します。クリーンな書き直しであれば、保存されたリターンアドレスまでの真の距離を特定し、align、imp、imp2はどれも意味を持たないため、完全に削除できるでしょう。imp/imp2はフィラー文字列であり、インポートではありません。

デコーダスタブは不活性である

bufは29バイトのmsfvenom shikata_ga_naiスタブです。ndisasm -b32で逆アセンブルした結果：

これから2つのことが明らかになり、どちらもペイロードが実行され得ないことを意味します。

1. mov cl,0x1 — デコードループは単一の4バイトブロック用に構成されています。背後に実際のペイロードはなく、その4バイトだけです。
2. \xe2\xf4（loop）ターミネータが存在しません。 完全なsgnスタブは、エンコードされた本体の前にloopでデコードループを終了させます。ここでは実行がadd ebx,[eax+0x15]からE9 8B 7C 9Cへまっすぐ落ちます。これはその時点ではまだエンコードされており、いずれにせよ有効な命令シーケンスでもありません。

つまり、このスタブはペイロードの末尾を占めるプレースホルダーです。これはExploit-DBでのPoCの説明と一致しており、正直な解釈です：これはEIP制御のデモであり、動作するエクスプロイトではありません。

悪用可能性（正直な評価）

CVSS v3.1ベクターのやり方ではなく、ブローカーやベンダーが行うようにこれを評価します：

• 特権境界は越えられません。 milstd1553result.txtはアプリケーション自身が生成するファイルであり、同じユーザーがすでに制御している場所にあります。これを書き換えられる攻撃者は、通常、そのユーザーとしてコードを実行することもすでに可能です。これはセキュリティバグというより、堅牢性バグです。
• PoCは何ものにも先行していません。 2020年頃のx86ビルドでのEIP制御は、それ自体ではほとんど意味を持ちません。これを実行に変えるにはDEP/ASLR対策の物語 — /DYNAMICBASEを持たないモジュール、ROPチェーン、または部分的な上書き — が必要です。そのいずれも行われておらず、現行ビルドにどのような緩和策が含まれているかも確認していません。
• ローカルであり、オペレーターがファイルを読み込む必要があります。 CVSS v4.0のUI:Aは現実を反映しています。v3.1のUI:Nは反映していません。

誰かがこれを本当に興味深いものにしたいのであれば、生産的な攻撃面はこのファイルではなく、DDCが1553/664 PCIeカード用に出荷しているカーネルドライバ（IOCTL処理 → LPE）、ネットワークに面したARINC 664/AFDXフレーム解析、そしてスイートが信頼できないソースから消費する入力ファイル形式です。これらは実際の境界を越えます。これは越えません。

公開記録に対する訂正

CVEレコードには、私の名前で公開されている以上、明確に述べるべき2つの欠陥があります。

1. 引用されたベンダー製品が誤っている

レコードの製品指定 —「dataSIMS Avionics ARINC 664-1 バージョン 4.5.3」— は正しいです。影響を受けるコンポーネントは、私のオリジナルのExploit-DBタイトルで述べたとおり、ARINC 664モジュールです。

欠陥は、CNAが添付したベンダー参照にあります。NVDはBU-69414を引用していますが、これはDDCのMIL-STD-1553ソフトウェア製品ページであり、この発見が影響するものとは異なるデータバススタックです。ARINC 664はAFDX（プロファイル化されたスイッチドイーサネット、ARINC 664 Part 7）です。MIL-STD-1553は1Mbpsの二重冗長コマンド/レスポンスバスです。両者は無関係の規格です。

誤引用の可能性が高い原因は、結果ファイル名です。dataSIMSはARINC 664モジュールの結果ファイルをmilstd1553result.txtと名付けています — これはスイートのMIL-STD-1553系統からの残存物です。CVEの説明を読んで一致するベンダー製品ページを探す人は誰でも、この文字列を辿って1553系にまっすぐ到達します。それが実際に起こったことのようです。ファイル名は影響を受けるモジュールの証拠ではなく、1553製品ページを指すレコードは、ディフェンダーを誤ったコンポーネントの監査へと導きます。

2. 2つのCVSSベクターは相互に排他的である

両方のベクターはVulnCheck由来であり、重要となる2つの点で互いに矛盾しています：

両方が正しいことはあり得ません。v4.0ベクターが擁護可能な方です。PoCが示すのはクラッシュであり、情報漏えいや完全性の喪失ではありません。v3.1のスコア8.4はこの発見を過大評価しており、私はそれをここで明言するほうを選びます。

再現

ここで必要なものに対象ソフトウェアは含まれません。PoCは不正なファイルを書き込むだけです。オーバーフローのトリガーにはdataSIMS 4.5.3が必要ですが、これはライセンスされた商用ソフトウェアであり、このリポジトリは配布しません。

その後、影響を受けるビルドでデバッガの下にファイルを読み込ませ、EIPの上書きを観察します。poc/49577.pyはオリジナルのPython 2ソースをそのままアーカイブしたもので、Python 3では実行できません。

Python 2 → 3 移植に関する注記

移植版はバイト単位で同一の1040バイトファイル（sha256 530efb5e…）を生成します。変更が必要だったのは3点、そしてバグのように見えてバグではないものが1点あります：

• print len(win32)はPython 2では文であり、Python 3ではSyntaxErrorになります。
• オリジナルはstrフィールドとbytesシェルコードを連結しています。Python 2ではstrがバイトそのものだったため許容されましたが、Python 3ではTypeErrorが発生します。
• open(..., "w")は"wb"に変更する必要があります。テキストモードではPython 3がスタブ内の0x80以上のすべてのバイトをUTF-8エンコードし — 0xda → 0xc3 0x9a — ペイロードを静かに破損させ、長さを変えてしまいます。
• imp2 = "\x61\x72\x61\x63\x61\x67\x131\x7a"はバージョン依存の癖ではありません。\xはPython 2と3の両方で正確に2桁の16進数を受け取るため、\x131は0x13の後に文字1が続くものになります。このフィールドは両方で9バイトです。単に見た目が悪いだけです。

制限事項

何が行われ、何が行われなかったかを誰も推測しなくて済むように、明示的に述べます：

• 根本原因分析なし。クローズドソースのバイナリであり、オーバーフローする関数は特定されていません。
• パッチなし、ベンダー勧告なし、調整済み開示記録なし — 2020年の発見は直接Exploit-DBに公開されました。
• 4.5.3以降のリリースでの再テストなし、現行のWindows緩和策に対するテストもなし。
• 動作するコード実行なし。EIPの上書きが結果のすべてです。
• CVEは公開から5年後の2026年に第三者CNAによって遡及的に割り当てられ、私への連絡はありませんでした。

タイムライン

参考情報

• https://nvd.nist.gov/vuln/detail/CVE-2021-47881
• https://www.cve.org/CVERecord?id=CVE-2021-47881
• https://www.vulncheck.com/advisories/datasims-avionics-arinc-local-buffer-overflow
• https://www.exploit-db.com/exploits/49577
• https://www.ddc-web.com/

クレジット

Kağan Çapar — GitHub · Exploit-DB · LinkedIn · X

解説記事: English · Türkçe