leesh3288/cve-2025-32023PoC & Exploit para CVE-2025-32023 / PlaidCTF 2025 "Zerodeo"
PoC & Exploit para CVE-2025-32023 (GHSA-rp2m-q4j6-gr43) / PlaidCTF 2025 "Zerodeo"
Testado em redis:7.4.2-alpine3.21@sha256:02419de7eddf55aa5bcf49efb74e88fa8d931b4d77c07eff8a6b2144472b6952
Afeta versões do Redis >= 2.8. Corrigido em 8.0.3, 7.4.5, 7.2.10, 6.2.19, ver redis/redis@5018874.
HyperLogLog no Redis é apenas mais uma string com suas próprias codificações personalizadas. Iterar sobre uma codificação HLL esparsa exige somar os comprimentos de execução de cada representação esparsa, o que pode fazer o comprimento total contado em int i estourar para um valor negativo quando operado sobre um HLL malformado. Isso permite que um atacante sobrescreva offsets negativos na estrutura HLL, levando a uma escrita fora dos limites na pilha (stack) ou no heap, dependendo de onde a estrutura HLL se origina (por exemplo, hllMerge() usa uma alocada na pilha, hllSparseToDense() usa uma alocada no heap).
Veja o trecho do patch abaixo:
int hllMerge(uint8_t *max, robj *hll) {
struct hllhdr *hdr = hll->ptr;
int i;
if (hdr->encoding == HLL_DENSE) {
hllMergeDense(max, hdr->registers);
} else {
uint8_t *p = hll->ptr, *end = p + sdslen(hll->ptr);
long runlen, regval;
+ int valid = 1;
p += HLL_HDR_SIZE;
i = 0;
while(p < end) {
if (HLL_SPARSE_IS_ZERO(p)) {
runlen = HLL_SPARSE_ZERO_LEN(p);
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
i += runlen;
p++;
} else if (HLL_SPARSE_IS_XZERO(p)) {
runlen = HLL_SPARSE_XZERO_LEN(p);
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
i += runlen;
p += 2;
} else {
runlen = HLL_SPARSE_VAL_LEN(p);
regval = HLL_SPARSE_VAL_VALUE(p);
- if ((runlen + i) > HLL_REGISTERS) break; /* Overflow. */
+ if ((runlen + i) > HLL_REGISTERS) { /* Overflow. */
+ valid = 0;
+ break;
+ }
while(runlen--) {
if (regval > max[i]) max[i] = regval;
i++;
}
p++;
}
}
- if (i != HLL_REGISTERS) return C_ERR;
+ if (!valid || i != HLL_REGISTERS) return C_ERR;
}
return C_OK;
}
O exploit segue o padrão de exploração do Redis: