# CTT-Vsyslog-Vortex

**CVE-2023-6246 (glibc __vsyslog_internal() 힙 오버플로우)에 대한 시간 공명 익스플로잇**

Copyright © 2026 Americo Simoes. All Rights Reserved.

---

## 개요

CVE-2023-6246은 glibc의 `__vsyslog_internal()` 함수( `syslog()` 및 `vsyslog()` 에 의해 호출됨)에서 발생하는 힙 기반 버퍼 오버플로우입니다. 취약점은 glibc 2.37에서 도입되어 2.36으로 백포트되었으며, 다음에 영향을 미칩니다:

- Debian 12 및 13
- Ubuntu 23.04 및 23.10
- Fedora 37–39

표준 익스플로잇은 힙 레이아웃 무작위화로 인해 신뢰할 수 없습니다. **CTT-Vsyslog-Vortex**는 수렴 시간 이론(CTT)을 적용하여:

- 33개 시간 레이어에 걸쳐 힙 레이아웃 예측
- α = 0.0302011 감쇠를 사용하여 할당 정렬
- 최적의 순간에 트리거 위상 고정

**결과:** 신뢰할 수 있는 로컬 권한 상승으로 루트 권한 획득.

---

## 적용된 CTT 물리

| CTT 개념 | 익스플로잇 적용 |
|-------------|----------------------|
| α = 0.0302011 | 힙 스프레이 할당 타이밍 |
| 33개 레이어 | 예측 가능한 레이아웃을 위한 레이어별 배치 할당 |
| 시간 쐐기 | "생존"하는 할당만이 일관된 힙에 기여 |
| 위상 고정 | 오버플로우가 착지하기에 최적의 위상에서 vsyslog 트리거 |
| 에너지 감쇠 E(d) = E₀e^{-αd} | 힙 스프레이 강도가 레이어에 따라 감쇠 |

---

## 작동 방식

### 1. 시간 힙 스프레이

무차별 스프레이 대신, α 감쇠로 계산된 지연으로 33개 레이어에 걸쳐 할당이 배치됩니다:

### 2. 위상 고정 트리거

익스플로잇은 `__vsyslog_internal()`을 트리거하기 전에 최적의 시간 위상(α-고조파의 영점 교차)을 기다립니다.

### 3. 오버플로우 착지

할당의 시간 구조가 일관되기 때문에 힙 오버플로우가 예측 가능한 주소에 착지합니다.

---

## 사용법

```bash
# 취약한 시스템에서 (Debian 12, Ubuntu 23.04, Fedora 37-39)
git clone https://github.com/SimoesCTT/CTT-Vsyslog-Vortex
cd CTT-Vsyslog-Vortex
python3 ctt_vsyslog_exploit.py

// glibc-2.37/misc/syslog.c
void __vsyslog_internal(int pri, const char *fmt, va_list ap, int mode) {
    // 메시지 길이에 따른 힙 버퍼 할당
    char *buf = malloc(len);
    // vsnprintf 출력에 대한 경계 검사 없음
    vsnprintf(buf, len, fmt, ap);
    // fmt가 len보다 더 확장되면 버퍼 오버플로우 발생
}

1. 33개 레이어에 걸쳐 10,000개 객체로 힙 스프레이 (α-타이밍)
2. 위상 고정 대기 (60 Hz * α의 영점 교차)
3. 오버플로우 페이로드가 포함된 조작된 syslog 메시지 전송
4. 오버플로우가 예측 가능한 주소에 착지
5. 셸코드 실행 → 루트 셸 획득

# Debian/Ubuntu
sudo apt update && sudo apt upgrade libc6

# Fedora
sudo dnf update glibc

# 위험 부담은 본인에게 있습니다. 승인된 테스트만 수행하세요.
python3 ctt_vsyslog_exploit.py