leesh3288/cve-2025-32023CVE-2025-32023 用 PoC & Exploit / PlaidCTF 2025 "Zerodeo"
CVE-2025-32023 の PoC & Exploit（GHSA-rp2m-q4j6-gr43）/ PlaidCTF 2025 "Zerodeo"
redis:7.4.2-alpine3.21@sha256:02419de7eddf55aa5bcf49efb74e88fa8d931b4d77c07eff8a6b2144472b6952 に対してテスト済み
影響を受ける Redis バージョン: 2.8 以上。8.0.3、7.4.5、7.2.10、6.2.19 でパッチ適用済み。redis/redis@5018874 を参照。
Redis の HyperLogLog は、独自のカスタムエンコーディングを持つ単なる文字列にすぎません。スパース HLL エンコーディングを反復処理するには、各スパース表現のラン長を合計する必要がありますが、不正な HLL に対して操作すると、int i でカウントされる合計長が負の値にオーバーフローする可能性があります。これにより、攻撃者は HLL 構造上の負のオフセットへ上書きでき、HLL 構造の由来に応じてスタック/ヒープ上の境界外書き込みが発生します（例: hllMerge() はスタック割り当ての構造体を受け取り、hllSparseToDense() はヒープ割り当ての構造体を受け取ります）。
パッチの抜粋は次のとおりです:
int hllMerge(uint8_t *max, robj *hll) {
struct hllhdr *hdr = hll->ptr;
int i;
if (hdr->encoding == HLL_DENSE) {
hllMergeDense(max, hdr->registers);
} else {
uint8_t *p = hll->ptr, *end = p + sdslen(hll->ptr);
long runlen, regval;
+ int valid = 1;
p += HLL_HDR_SIZE;
i = 0;
while(p < end) {
if (HLL_SPARSE_IS_ZERO(p)) {
runlen = HLL_SPARSE_ZERO_LEN(p);
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
i += runlen;
p++;
} else if (HLL_SPARSE_IS_XZERO(p)) {
runlen = HLL_SPARSE_XZERO_LEN(p);
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
i += runlen;
p += 2;
} else {
runlen = HLL_SPARSE_VAL_LEN(p);
regval = HLL_SPARSE_VAL_VALUE(p);
- if ((runlen + i) > HLL_REGISTERS) break; /* Overflow. */
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
while(runlen--) {
if (regval > max[i]) max[i] = regval;
i++;
}
p++;
}
}
- if (i != HLL_REGISTERS) return C_ERR;
+ if (!valid || i != HLL_REGISTERS) return C_ERR;
}
return C_OK;
}
エクスプロイトは標準的な Redis pwnables です: