CVE-2022-24834 공개 익스플로잇 개선

작성자

Conviso 연구팀

설명

Ricerca Security(@RicercaSec) 팀이 Redis에 포함된 Lua 인터프리터에서 흥미로운 취약점(CVE-2022-24834)을 발견하고 성공적으로 악용했습니다. 이 취약점은 cjson 라이브러리의 힙 오버플로우이며, 자세한 분석은 여기에서 확인할 수 있습니다.

우리는 하드코딩된 오프셋[2][3]을 발견했는데, 이는 테스트하려는 사람들에게 불편을 줄 수 있다고 생각하여 이를 제거하기로 결정했습니다. 주요 목표는 더 범용적으로 만들고 Lua 내부에 대해 조금 더 배우는 것이었습니다.

우리가 수행한 수정 사항

• 임의의 메모리 주소를 더 쉽게 읽을 수 있도록 큰 문자열을 사용했습니다.
• Lua 코루틴을 사용하여 스택 및 libc 주소를 유출했습니다. 이 기술은 Saelo(@5aelo)가 문서화한 것입니다.
• 심볼 해석 함수(local system_addr = resolve_symbol_gnu(libc_leak, "system"))를 포함시켰습니다.
• 자동 가젯 파인더를 포함시켰습니다.
• 원본 exploit.py를 pwntools를 사용하도록 수정했습니다.
• exploit.py에 리버스 셸 핸들러를 추가했습니다.

테스트

• Ubuntu 20.04 (직접 컴파일)에서 Redis 7.0.11 - 성공
• Ubuntu 20.04 (Redis 공식 저장소 apt 사용)에서 Redis 7.0.11 - 성공
• Ubuntu 20.04 (docker image redis:7.0.11)에서 Redis 7.0.11 - 성공
• Ubuntu 20.04 (docker image redis:6.2.12)에서 Redis 6.2.12 - 성공
• Debian 11 (Redis 공식 저장소 apt 사용)에서 Redis 7.0.11 - 성공
• Ubuntu 20.04 (apt 사용)에서 Redis 5.0.7 - 충돌

크레딧

• @RicercaSec - 취약점 발견, 훌륭한 분석 및 초기 익스플로잇 제공
• @5aelo - 코루틴 기술 제공

데모

버전 6.2.12

버전 7.0.11

참고자료

[1] https://ricercasecurity.blogspot.com/2023/07/fuzzing-farm-4-hunting-and-exploiting-0.html

[2] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L341

[3] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L362-L365

[4] https://saelo.github.io/posts/pwning-lua-through-load.html