익스플로잇 요약 (CVE-2022-24126)

NRSessionSearchResult 매치메이킹 데이터를 파싱하는 동안 스택 버퍼와 데이터 크기 필드에 대한 부적절한 범위 검사로 인해 공격자가 임의 코드를 실행할 수 있습니다. 스택 오버플로를 통해 스트림 리더가 내부적으로 사용하는 DLMemoryInputStream 객체의 vftable_ptr 하위 2바이트를 덮어쓸 수 있으며, 이로 인해 실행이 신중하게 선택된 인접 코드로 리디렉션됩니다. DLMemoryInputStream 객체의 구조와 데이터 크기 필드를 교묘하게 익스플로잇하면 RCX가 우리 패킷의 주소를 가리키는 상태에서 임의 코드 리디렉션을 달성할 수 있습니다. 그런 다음 가상 호출(다른 오프셋에서 실행되며, 이제 패킷 버퍼에 쓴 주소로 점프함)을 통한 일련의 코드 리디렉션을 사용하여 임의 코드 실행을 달성할 수 있습니다.

배포 벡터 (CVE-2022-24125)

배포 벡터는 이 특정 RCE를 (이미 RCE임에도 불구하고) 특히 심각하게 만듭니다. 익스플로잇은 NRSessionSearchResult 정보를 포함하는 매치메이킹 푸시 요청을 통해 전송됩니다. 즉, 공격자는 자신의 온라인 세션에 참여하는 모든 사람을 대상으로 삼을 수 있습니다. 특히 DS3의 경우:

• 소환 (PushRequestSummonSign)
• 암령 침입자 (PushRequestAllowBreakInTarget)
• 계약을 통해 참여하는 플레이어 (PushRequestVisit)
• 아레나 전투원 (PushRequestAcceptQuickMatch)

이것만으로도 상당히 나쁘지만, RequestSendMessageToPlayers 요청에 의해 진정한 잠재력이 발휘됩니다:

message RequestSendMessageToPlayers { 
    repeated uint32 player_ids = 1; 
    required bytes push_message = 2;
}

호스트는 이 요청을 사용하여 침입자에게 PushRequestAllowBreakInTarget 푸시 메시지를 직접 전송하여 스폰 좌표를 얻고 P2P 세션에 참여할 수 있도록 합니다. 그게 다입니다. 게임에서 이 요청이 사용되는 유일한 방법입니다.

그럼에도 불구하고 모든 클라이언트가 수십만 명의 특정 플레이어에게 임의의 푸시 메시지를 보낼 수 있습니다.

이것이 얼마나 끔찍하게 안전하지 않은지 강조해도 지나치지 않습니다. 모든 플레이어는 기본적으로 매치메이킹 서버를 사칭할 수 있습니다. 이 요청을 사용하여 PushRequestVisit을 통해 익스플로잇을 보내면, 공격자는 플레이어 ID만 알면 모든 온라인 플레이어를 원격으로 대상으로 삼을 수 있습니다. 또한 공격자는 여러 요청을 보내 각각 가능한 플레이어 ID의 큰 조각을 포함시킴으로써 전체 온라인 플레이어 기반에 매우 빠르게 익스플로잇을 전송할 수 있습니다.

모든 게임에 대한 일반적인 익스플로잇 전술

RCE가 모든 게임에 정확히 이식되지는 않지만, 공격자에게 임의 코드 리디렉션을 제공하는 익스플로잇의 핵심 아이디어는 동일합니다. 이를 달성할 수 있다면 게임별 가상 호출 체인 또는 ROP 체인을 찾을 가능성이 매우 높습니다. 이 "첫 번째 단계"는 다음 취약점을 사용합니다:

버그 #1: 항목 목록 파서의 범위 검사 부재

세션 참여 정보를 포함하는 매치메이킹 푸시 요청은 해당 정보를 길이로 구분된 데이터 항목 체인으로 구성된 사용자 정의 바이너리 형식으로 저장합니다. 각 항목의 형식은 다음과 같습니다:

struct Entry
{
    uint32_t type_or_id; // 확실하지 않지만, 아마도 유형(고정 길이 = 2, 가변 길이 = 1 ?)
    uint32_t size;
    uint8_t data[size];
}

이 항목의 데이터를 복사하는 게임 함수는 크기 필드를 맹목적으로 신뢰하여 경계를 벗어난 읽기를 발생시킵니다. 악의적인 클라이언트는 크기 필드를 0x7FFFFFFF와 같은 값으로 설정하여 메모리 할당에 실패하게 만들고 피해자의 게임을 충돌시킬 수 있습니다. 나중에 이 크기는 DLMemoryInputSteam의 생성자에도 전달되며, 이는 익스플로잇의 중요한 부분입니다.

버그 #2: NRSessionSearchResult 파서의 버퍼 오버런

위에서 설명한 데이터 구조의 항목 중 하나는 직렬화된 NRSessionSearchResult 객체입니다. 이 데이터의 파서는 먼저 속성 목록을 파싱합니다. 이러한 속성은 4바이트 정수, 8바이트 정수 또는 null 종료 와이드 문자열일 수 있습니다. 이 속성 목록 다음에는 null 종료 와이드 문자열로 된 호스트 Steam 페르소나 이름과 익스플로잇에 중요하지 않은 추가 데이터가 옵니다. 이 함수와 속성 목록 파서 모두 고정 크기 스택 버퍼를 사용하여 문자열을 읽으며, 두 경우 모두 버퍼에 대한 범위 검사가 수행되지 않습니다. 다음은 호스트 이름을 복사하는 게임 코드입니다 (Ghidra 디컴파일러를 사용하여 생성한 후 정리):

size_t idx = 0;
wchar_t wchr = 0;
do {
  // DLEndianStreamReader의 vftable 인덱스 17에 있는 read_wchar() 함수
  wchr = stream_reader->read_wchar();
  player_name_buff[idx] = wchr;
  idx++;
} while (wchr != 0);

이로 인해 버퍼 오버런 익스플로잇이 발생하여 공격자가 스택을 손상시킬 수 있습니다.

가상 호출 / ROP 체인을 위한 길 닦기

임의 코드 리디렉션을 달성하기 위해, 우리는 이 버그와 파서를 호출하는 함수가 스택에 인스턴스화하는 DLMemoryInputStream 객체의 메모리 레이아웃을 사용합니다. 이 객체는 스트림 리더가 내부적으로 사용합니다:

struct DLMemoryInputStream {
    uintptr_t* vftable_ptr; // 오프셋 0
    size_t data_size;       // 오프셋 4 (32비트) / 8 (64비트)
    uint8_t* data_buffer;   // 오프셋 8 (32비트) / 16 (64비트)
    // 버퍼 이후의 항목은 익스플로잇에 중요하지 않음
}

우리는 data_size 필드(버그 #1)를 제어할 수 있으므로, 이를 data_buffer 필드의 스택 메모리 주소로 설정할 수 있습니다. 주소가 일정하고 너무 크지 않으면(DS3는 이 요구 사항을 충족) 성공합니다. 컴파일러가 스택 버퍼를 프레임 상단에 배치하므로, 공격자는 버그 #2를 사용하여 DLMemoryInputStream의 vftable_ptr 하위 2바이트를 덮어쓸 수 있습니다. 따라서 DLEndianStreamReader가 다음 문자를 읽을 때 내부적으로 DLMemoryInputStream을 호출하고 코드가 리디렉션됩니다. 2바이트는 DLEndianStreamReader vftable의 22번째 함수로 점프하기에 충분한 여유를 제공하며, 이 함수는 첫 번째 필드가 가리키는 객체의 6번째 가상 메서드를 호출합니다. 64비트 프로세스(예: 다크 소울 III)에서는 다음 명령어가 실행됩니다:

MOV       RCX,qword ptr [RCX + 0x8]
MOV       RAX,qword ptr [RCX]
JMP       qword ptr [RAX + 0x40]

RCX는 DLMemoryInputStream 객체에 대한 포인터이므로, 첫 번째 명령어는 data_size 필드(버그 #1을 사용하여 공격자가 data_buffer 필드를 가리키는 스택 주소로 설정한 값)를 RCX에 씁니다. 다음 두 명령어는 따라서 실행을 공격자가 데이터 버퍼의 오프셋 0x40에 쓴 메모리 주소로 리디렉션합니다. 이제 임의 코드 리디렉션이 달성되었습니다! 여기서부터 공격자는 페이로드를 적절한 메모리 영역에 복사하고 실행하는 코드 리디렉션 체인을 설정할 수 있습니다. 버퍼가 이제 가상 메서드 테이블 역할을 하므로, 다른 오프셋에서 가상 호출에 가까운 코드를 선택하면 됩니다. 다크 소울 III 개념 증명의 경우 RCE를 달성하는 데 3개의 가젯만 필요한 설정을 찾았습니다:

• 0x18: 140e97700
• 0x40: 1422be020
• 0x68: 140e40f15

다크 소울 III 개념 증명 코드

PoC 코드 실행

공격 벡터

개념 증명을 위해 RequestSendMessageToPlayers를 사용하여 전송된 PushRequestVisit 메시지를 사용하기로 결정했습니다. 이는 대상의 게임이 모든 상황(메인 메뉴에서도)에서 취약한 데이터를 수신한 후 즉시 파싱한다는 점에서 가장 강력한 버전의 익스플로잇입니다.

가상 호출 리디렉션 체인

오프셋 0x18: 140e97700

LEA       RAX,[DAT_144786150]
RET

이 가젯은 0x68의 가젯에서 사용됩니다. RAX에 144786998보다 낮지만 상당히 가까운 주소를 넣어야 합니다. 이것이 가장 가까운 주소입니다.

오프셋 0x40: 1422be020

MOV       RDX,RAX
MOV       R8,qword ptr [RCX]
CALL      qword ptr [R8 + 0x68]

오프셋 0x68의 가젯을 사용하려면 데이터 버퍼 주소가 RDX에 저장되고 RCX가 동일하게 유지되어야 합니다. 이 가젯이 정확히 그 작업을 수행합니다.

오프셋 0x68: 140e40f15

; 오프셋 0x40의 가젯에서 여기로 점프
MOV       RBX,RDX
CMP       R9,R8

 ; 절대 점프하지 않음, R9 != R8
JZ        LAB_140e40f7a
MOV       RAX,qword ptr [RCX]
MOV       R8,qword ptr [RSP + 0x50]
MOV       RDX,R9
MOV       qword ptr [RSP + 0x30],RSI

; 오프셋 18의 가젯 호출 (140e97700). RAX에 144786150을 로드
CALL      qword ptr [RAX + 0x18]
MOV       RSI,RAX
TEST      RAX,RAX

; 절대 점프하지 않음, RAX는 데이터 버퍼 주소
JZ        LAB_140e40f4d 
CMP       RBP,RDI
MOV       RDX,RBX
MOV       RCX,RAX
CMOVC     RDI,RBP
MOV       R8,RDI ; RDI는 14F3B0에 가까운 스택 주소이므로 memcpy 성공
CALL      memcpy

LAB_140e40f4d:
TEST      RBX,RBX
; 절대 점프하지 않음, RBX == RDX == 데이터 버퍼 주소, 0이 아님
JZ        LAB_140e40f62 

; 이제 144786150에서의 memcpy로 인해 이 RWE 메모리 영역을 완전히 제어합니다. RCE가 달성되었습니다!
MOV       RCX,qword ptr [DAT_144786998]
MOV       RDX,RBX
MOV       RAX,qword ptr [RCX]
CALL      qword ptr [RAX + 0x68]

이 가젯은 거의 모든 작업을 대신 수행합니다. 오프셋 0x18을 호출하여 memcpy 대상 포인터를 얻고, 패킷을 거기에 복사한 다음 144786998의 정적 객체에 대해 오프셋 0x68의 가상 함수를 호출합니다. 이제 memcpy 호출로 인해 해당 객체를 완전히 제어합니다. memcpy로 손상된 메모리 양이 많고 일부 영역은 다른 게임 스레드에 의해 지속적으로 쓰여지기 때문에, 익스플로잇은 먼저 안전한 위치에 복사되는 "설정" 페이로드를 로드하고, 다른 모든 스레드를 일시 중단한 후 실제 페이로드를 다시 복사한 다음 점프합니다. 자세한 내용은 rce.h를 참조하십시오.

추가 정보

개념 증명 코드의 소스 코드를 확인하는 것을 추천합니다. 패킷 구조를 자세히 설명하는 많은 주석이 있습니다. 각 단계에서 실시간으로 무슨 일이 일어나는지 보고 싶다면(정말 멋집니다!), 게임을 디버거에서 실행하면서 다음 관심 주소에 중단점을 설정한 상태에서 개념 증명 DLL을 주입할 수 있습니다:

140ca5960

기본적으로 익스플로잇이 시작되는 곳입니다. 이 함수는 PushRequestVisit 메시지의 크기 구분 항목 목록 데이터를 파싱합니다. 먼저 목록의 각 항목을 다른 벡터로 추출합니다:

0x140ca59f8:
    player_data_cpy_ptr = (std_vector *)VectorCopy2_140ca4ef0(&player_data_cpy,player_data);
    FUN_140ca5010(player_data_cpy_ptr,&spawn_data,0x1c);
    FUN_140ca5010(player_data_cpy_ptr,&unk,4);
    FUN_140ca4fa0(player_data_cpy_ptr,&nrssr_data);