Em seu relato, Mantas menciona o uso da versão obsoleta 0.64 do PuTTY, anexando também um backtrace do abort devido ao double free.

Passo a Passo da Pesquisa

Para nos aprofundarmos, montamos um ambiente com o OpenSSH vulnerável 9.1p1 e baixamos uma cópia da versão antiga do PuTTY 0.64, lançada há 8 anos, em 28 de fevereiro de 2015.

O seguinte erro foi retornado após tentar conectar com o PuTTY 0.64 ao servidor OpenSSH vulnerável:

Como os algoritmos de troca de chaves do cliente obsoleto não são suportados pela nova versão do OpenSSH, editamos o arquivo sshd_config adicionando a seguinte linha ao /etc/ssh/sshd_config : KexAlgorithms +diffie-hellman-group1-sha1

Depois de reiniciar o servidor SSH e tentar novamente, o seguinte erro foi retornado:

Após adicionar outra linha de configuração ao sshd_config, conseguimos conectar ao servidor OpenSSH vulnerável e reproduzir a falha:

HostKeyAlgorithms +ssh-rsa

Executando o servidor em modo de depuração (usando a flag -ddd), a seguinte mensagem de depuração foi retornada:

ssh_sandbox_violation: unexpected system call (arch:0xc000003e,syscall:20 @ 0x7fd7473fb771) [preauth]

O número de syscall 20 é writev(), que corresponde ao relato do Bugzilla.

Observe que as alterações de configuração que fizemos foram apenas para reproduzir a vulnerabilidade através do PuTTY e não são necessárias para explorá-la. Como veremos na PoC, a configuração padrão é vulnerável.

Detalhes Aprofundados da Vulnerabilidade

Começamos examinando o commit da correção que afirma que compat_kex_proposal() é responsável pelo double free. Quando a opção de compatibilidade de conexão SSH_OLD_DHGEX é verdadeira em [1], o segundo argumento p é atribuído a cp em [2] e posteriormente liberado em [3].

A chamada a compat_kex_proposal() está dentro da função do_ssh2_kex():

O cp=p liberado em compat_kex_proposal() refere-se ao argumento options.kex_algorithms.

Pesquisando por kex_algorithms no código-fonte, encontramos o assemble_algorithms do crash no relato do Bugzilla:

ASSEMBLE é um macro para chamar a função kex_assemble_names():

A função kex_assemble_names() é chamada com o endereço de o->kex_algorithms como seu primeiro argumento (que é listp). É aqui que ocorre o segundo free.

Como o handle options.kex_algorithms é liberado e se torna um ponteiro pendente (dangling pointer), ele é liberado novamente, causando um double free.

Mas onde a opção SSH_OLD_DHGEX é definida?

Dentro da função compat_banner(), que determina os flags de bug a partir do banner do protocolo SSH. Uma struct chamada check[] lista todos os IDs de clientes SSH e seus flags. O trecho a seguir mostra os IDs de clientes que recebem a opção SSH_OLD_DHGEX. Também podemos ver que o WinSCP pode ser capaz de acionar esse comportamento.

Prova de Conceito

Optamos por criar uma Prova de Conceito de negação de serviço em Python por causa de sua flexibilidade e portabilidade. A prova de conceito aciona o double free usando o pacote paramiko e causa um crash por abort.

paramiko é uma implementação SSH em Python amplamente difundida, fornecendo funcionalidades tanto de servidor quanto de cliente. Para a PoC, alteramos o banner da versão do cliente que se conecta para refletir um cliente obsoleto como o PuTTY v0.64.

Disponível em nosso repositório no GitHub.

Prova de Conceito de RCE

O exploit aloca outra struct chamada EVP_AES_KEY no lugar do options.kex_algorithms liberado. Ela é liberada novamente quando o double free acontece. Em seguida, sobrescreve seu conteúdo com outro chunk usando authctxt->user ou authctxt->style.

Quando EVP_Cipher() posteriormente tenta usar este EVP_AES_KEY, ele usará este chunk que o sobrescreveu usando dados controlados pelo atacante.

Impacto da Vulnerabilidade

O daemon do OpenSSH escuta conexões de clientes. Ele cria um novo daemon (fork) para cada conexão recebida. Os daemons bifurcados lidam com troca de chaves, criptografia, autenticação, execução de comandos e troca de dados.

A vulnerabilidade é um double free que pode teoricamente ser explorado para negação de serviço, como demonstrado pela nossa Prova de Conceito, e possivelmente para execução remota de código (RCE), embora desenvolver um exploit funcional seja considerado difícil devido às medidas de segurança existentes, como sandbox e mecanismo de separação de privilégios. Para uma negação de serviço, observe que apenas os daemons bifurcados travam, devido a uma violação de sandbox ao tentar chamar writev(), deixando assim o daemon principal do servidor livre para lidar com novos clientes.

Esta vulnerabilidade recebeu uma classificação de gravidade Alta pelas seguintes razões:

1. Nenhum pré-requisito é necessário. Uma configuração padrão é vulnerável.

2. Quando nenhuma mitigação de exploração de memória é aplicada (como ASLR ou NX), a RCE é possível, de acordo com uma publicação recente.

3. Quanto a um ataque de negação de serviço, derrubar um processo de trabalho bifurcado é muito menos grave do que uma DoS que derruba um daemon importante, mas ambos receberão uma classificação CVSS de impacto de Disponibilidade “Alta”.

4. Observe que o OpenSSH implementou medidas de segurança, como sandbox e mecanismo de separação de privilégios, mas elas não devem reduzir a gravidade do possível ataque de RCE.

Alvos da Vulnerabilidade

A vulnerabilidade se aplica apenas à versão 9.1p1 do OpenSSH com configuração padrão, o que significa que nenhum pré-requisito é necessário.