PNGboomer — CVE-2026-77622

Sliver C2のHTTP(S)リスナーに対するサービス拒否(DoS)エクスプロイト。セッションごとのPNGエンコードnonceをブルートフォースし、サーバーのメモリを枯渇させる解凍爆弾(decompression bomb)を送信します。

GHSA-663m-7x7m-g4fwとして公開されています。

概要

SliverのHTTP(S) C2チャネルは、メッセージをPNG画像内にラップします。各セッションには[1, 65537)の範囲のランダムなnonceが割り当てられ、サーバーは?n=クエリパラメータがセッションのnonceと一致するリクエストからのみPNGデータをデコードします。これは認証チェックではなくルーティングメカニズムであり、キースペースは16ビットです。

サーバーはGoのimage.Decode()でPNGをデコードし、メモリ上に幅 × 高さ × 1ピクセルあたりのバイト数を割り当てます。宣言された寸法が32767×32767のRGBA PNGファイルは、ワイヤー上では約3 KBに圧縮されますが、メモリ上では4 GB以上に解凍されます。サーバーはデコードされた寸法に制限を課しません。

このエクスプロイトは3つのフェーズで動作します:

キャリブレーション(Calibrate) — 一致しないnonceを中程度の大きさのプローブPNGとともに送信し、ベースラインの応答時間を測定します。
スキャン(Scan) — 全nonce範囲にわたってプローブPNGを送信します。一致するnonceはPNGデコードをトリガーし、拒否されたリクエストよりも測定可能なほど長い時間がかかります。候補は複数回の再プローブで検証されます。
キル(Kill) — 発見したnonceで解凍爆弾PNGを送信します。サーバーは数ギガバイトを割り当て、OOMキラーに強制終了されるか、ホストをスワップに追い込んで応答不能にします。

影響を受けるバージョン

GHSA-663m-7x7m-g4fwで参照されている修正前のSliver C2バージョン。HTTPまたはHTTPSリスナーを実行しているすべてのSliverサーバーが影響を受けます。

フラグ	デフォルト	説明
`-url`	`http://127.0.0.1:8080/`	Sliver HTTP C2ベースURL
`-workers`	8	スキャンの並行数
`-probe-w`	2000	プローブPNGの幅
`-probe-h`	2000	プローブPNGの高さ
`-probe-color`	2	プローブのカラータイプ(2=RGB、6=RGBA)
`-kill-w`	32767	キルPNGの幅
`-kill-h`	32767	キルPNGの高さ
`-kill-color`	6	キルのカラータイプ(2=RGB、6=RGBA)
`-threshold-ms`	50	nonce検出の最小応答時間フロア
`-outlier-mult`	15.0	適応しきい値 = ベースラインp99 × この値
`-calibrate`	16	キャリブレーションサンプル数
`-verify`	3	候補nonceあたりの再プローブ回数
`-max-nonce`	65537	nonce範囲の上限(Sliverの剰余)
`-probe-timeout`	5s	プローブごとのHTTPタイムアウト
`-kill-timeout`	180s	キルリクエストのHTTPタイムアウト
`-target-cap-mb`	10240	宣言されたターゲットメモリ上限(安全チェック)
`-nonce`	0	スキャンをスキップし、このnonceを直接使用
`-scan-only`	false	nonceを発見して出力するだけで、キルは送信しない
`-no-confirm`	false	キル後のターゲット死亡確認のためのTCPポーリングをスキップ
`-no-color`	false	ANSIカラー出力を無効化
`-silent`	false	発見したnonceのみをstdoutに出力

PNGboomer-CVE-2026-77622

人気

使用方法

オプション

例

安全性

nonceスキャンの仕組み

開示