halcy0nic/cve-2022-34556CVE-2022-34556에 대한 개념 증명(PoC)
PicoC v3.2.2에서 variable.c에 NULL 포인터 역참조(null pointer dereference)가 발견되었습니다. Picoc를 사용하는 모든 프로젝트나 라이브러리도 이 문제의 영향을 받습니다. 예를 들어 picoc-js가 있습니다.
PicoC에서 NULL 포인터 역참조 취약점을 재현하려면 먼저 취약한 버전(v3.2.2)의 PicoC 라이브러리와 인터프리터를 다운로드하고 컴파일해야 합니다:
git clone https://github.com/jpoirier/picoc.git
cd picoc
git checkout a97d94fa3d4d35c6b78b7de69faac7643e34de22
make
이 저장소에 포함된 poc.c 파일을 대상으로 인터프리터를 스크립트 모드로 실행합니다:
$ ./picoc -s poc.c
세그멘테이션 오류(segfault)가 발생하고 프로그램이 충돌합니다. 이는 라이브러리나 인터프리터에서 포착하거나 처리되지 않은 NULL 포인터 역참조의 결과입니다. 주소 삭제 도구(ASAN)를 사용하여 프로젝트를 다시 컴파일하면 이 문제가 발생하는 위치를 더 잘 파악할 수 있습니다. Makefile의 CFLAGS 변수에 -fsanitize=address를 추가하고 라이브러리를 다시 컴파일해 보겠습니다:
CFLAGS=-Wall -g -std=gnu11 -pedantic -DUNIX_HOST -DVER=\"`git show-ref --abbrev=8 --head --hash head`\" -DTAG=\"`git describe --abbrev=0 --tags`\" -fsanitize=address
라이브러리와 인터프리터를 다시 컴파일합니다(picoc 루트 디렉토리에서):
make clean
make
프로그램을 실행하면 ASAN에서 다음과 같은 출력이 나타나며, variable.c의 519행에서 NULL 포인터 역참조가 발생함을 보여줍니다:
AddressSanitizer:DEADLYSIGNAL
=================================================================
==157769==ERROR: AddressSanitizer: SEGV on unknown address 0x000000000018 (pc 0x55b55571240e bp 0x7ffe4f5c39b0 sp 0x7ffe4f5c3980 T0)
==157769==The signal is caused by a READ memory access.
==157769==Hint: address points to the zero page.
#0 0x55b55571240e in VariableDereferencePointer /dev/shm/picoc/variable.c:519
#1 0x55b5556fefea in ExpressionStackPushDereference /dev/shm/picoc/expression.c:430
#2 0x55b555701881 in ExpressionPrefixOperator /dev/shm/picoc/expression.c:687
#3 0x55b5557053d5 in ExpressionStackCollapse /dev/shm/picoc/expression.c:1257
#4 0x55b555706e35 in ExpressionParse /dev/shm/picoc/expression.c:1553
#5 0x55b5556fb6a0 in ParseStatement /dev/shm/picoc/parse.c:646
#6 0x55b5556fd380 in PicocParse /dev/shm/picoc/parse.c:897
#7 0x55b555715d0e in PicocPlatformScanFile platform/platform_unix.c:129
#8 0x55b5556ec213 in main /dev/shm/picoc/picoc.c:62
#9 0x7f15bd767189 in __libc_start_call_main ../sysdeps/nptl/libc_start_call_main.h:58
#10 0x7f15bd767244 in __libc_start_main_impl ../csu/libc-start.c:381
#11 0x55b5556ebd40 in _start (/dev/shm/picoc/picoc+0x16d40)
AddressSanitizer can not provide additional info.
SUMMARY: AddressSanitizer: SEGV /dev/shm/picoc/variable.c:519 in VariableDereferencePointer
==157769==ABORTING
519: *DerefType = PointerValue->Typ->FromType;