halcy0nic/cve-2022-34556Prova de conceito para CVE-2022-34556
Foi descoberto que o PicoC v3.2.2 contém uma desreferência de ponteiro nulo em variable.c. Qualquer projeto ou biblioteca que utilize o Picoc também sofre deste problema. Um exemplo disso seria o picoc-js.
Para replicar a vulnerabilidade de desreferência de ponteiro nulo no PicoC, devemos primeiro baixar e compilar uma versão vulnerável (v3.2.2) da biblioteca e interpretador PicoC:
git clone https://github.com/jpoirier/picoc.git
cd picoc
git checkout a97d94fa3d4d35c6b78b7de69faac7643e34de22
make
Execute o interpretador no modo script contra o arquivo poc.c incluído neste repositório:
$ ./picoc -s poc.c
Você receberá uma falha de segmentação (segfault) e o programa irá travar. Isso é resultado de uma desreferência de ponteiro nulo que não é capturada ou tratada pela biblioteca ou interpretador. Podemos recompilar o projeto com o sanitizador de endereços (ASAN) para termos uma ideia melhor de onde isso está ocorrendo. Vamos adicionar -fsanitize=address à variável CFLAGS no Makefile e recompilar a biblioteca:
CFLAGS=-Wall -g -std=gnu11 -pedantic -DUNIX_HOST -DVER=\"`git show-ref --abbrev=8 --head --hash head`\" -DTAG=\"`git describe --abbrev=0 --tags`\" -fsanitize=address
Recompile a biblioteca e o interpretador (a partir do diretório raiz do picoc):
make clean
make
Quando executamos nosso programa, obtemos a seguinte saída do ASAN mostrando que a desreferência de ponteiro nulo ocorre na linha 519 em variable.c:
AddressSanitizer:DEADLYSIGNAL
=================================================================
==157769==ERROR: AddressSanitizer: SEGV on unknown address 0x000000000018 (pc 0x55b55571240e bp 0x7ffe4f5c39b0 sp 0x7ffe4f5c3980 T0)
==157769==The signal is caused by a READ memory access.
==157769==Hint: address points to the zero page.
#0 0x55b55571240e in VariableDereferencePointer /dev/shm/picoc/variable.c:519
#1 0x55b5556fefea in ExpressionStackPushDereference /dev/shm/picoc/expression.c:430
#2 0x55b555701881 in ExpressionPrefixOperator /dev/shm/picoc/expression.c:687
#3 0x55b5557053d5 in ExpressionStackCollapse /dev/shm/picoc/expression.c:1257
#4 0x55b555706e35 in ExpressionParse /dev/shm/picoc/expression.c:1553
#5 0x55b5556fb6a0 in ParseStatement /dev/shm/picoc/parse.c:646
#6 0x55b5556fd380 in PicocParse /dev/shm/picoc/parse.c:897
#7 0x55b555715d0e in PicocPlatformScanFile platform/platform_unix.c:129
#8 0x55b5556ec213 in main /dev/shm/picoc/picoc.c:62
#9 0x7f15bd767189 in __libc_start_call_main ../sysdeps/nptl/libc_start_call_main.h:58
#10 0x7f15bd767244 in __libc_start_main_impl ../csu/libc-start.c:381
#11 0x55b5556ebd40 in _start (/dev/shm/picoc/picoc+0x16d40)
AddressSanitizer can not provide additional info.
SUMMARY: AddressSanitizer: SEGV /dev/shm/picoc/variable.c:519 in VariableDereferencePointer
==157769==ABORTING
519: *DerefType = PointerValue->Typ->FromType;