CVE-2019-6250-libzmq

ZeroMQ(ZMQ)

ZeroMQ(ZMQ) — это высокопроизводительная асинхронная библиотека сообщений, предназначенная для обеспечения эффективного и гибкого механизма передачи сообщений в распределённых или параллельных вычислительных средах. ZeroMQ предоставляет различные шаблоны обмена сообщениями (например, запрос-ответ, издатель-подписчик, толкай-тяни, прокси) и поддерживает несколько транспортных протоколов (таких как TCP, IPC, PGM и др.). Цель проектирования ZeroMQ — упростить сетевое программирование и повысить производительность за счёт эффективных очередей сообщений.

libzmq

libzmq — это базовая библиотека реализации ZeroMQ, обычно относящаяся к реализации библиотеки ZeroMQ на языке C. Это конкретная реализация функциональности ZeroMQ, обеспечивающая базовую поддержку для различных языков программирования. libzmq предоставляет все основные функции ZeroMQ и может использоваться в связке со многими языками.

Способ атаки

Скачайте библиотеку libzmq

git clone https://github.com/zeromq/libzmq.git
cd libzmq
git reset --hard 7302b9b8d127be5aa1f1ccebb9d01df0800182f3

Автор уже исправил эту уязвимость. Зайдите в src/v2_decoder.cpp и измените содержимое функции zmq::v2_decoder_t::size_ready на следующий код, чтобы воспроизвести уязвимость:

int zmq::v2_decoder_t::size_ready (uint64_t msg_size_,unsigned char const *read_pos_)
{
    int rc = _in_progress.close ();
    assert (rc == 0);

    // the current message can exceed the current buffer. We have to copy the buffer
    // data into a new message and complete it in the next receive.

    shared_message_memory_allocator &allocator = get_allocator ();
    if (unlikely (!_zero_copy
                  || ((unsigned char *) read_pos_ + msg_size_
                      > (allocator.data () + allocator.size ())))) {
        // a new message has started, but the size would exceed the pre-allocated arena
        // this happens every time when a message does not fit completely into the buffer
        rc = _in_progress.init_size (static_cast<size_t> (msg_size_));
    } else {
        // construct message using n bytes from the buffer as storage
        // increase buffer ref count
        // if the message will be a large message, pass a valid refcnt memory location as well
        rc =
          _in_progress.init (const_cast<unsigned char *> (read_pos_),
                             static_cast<size_t> (msg_size_),
                             shared_message_memory_allocator::call_dec_ref,
                             allocator.buffer (), allocator.provide_content ());

        // For small messages, data has been copied and refcount does not have to be increased
        if (_in_progress.is_zcmsg ()) {
            allocator.advance_content ();
            allocator.inc_ref ();
        }
    }

    if (unlikely (rc)) {
        errno_assert (errno == ENOMEM);
        rc = _in_progress.init ();
        errno_assert (rc == 0);
        errno = ENOMEM;
        return -1;
    }

    _in_progress.set_flags (_msg_flags);
    // this sets read_pos to
    // the message data address if the data needs to be copied
    // for small message / messages exceeding the current buffer
    // or
    // to the current start address in the buffer because the message
    // was constructed to use n bytes from the address passed as argument
    next_step (_in_progress.data (), _in_progress.size (),
               &v2_decoder_t::message_ready);

    return 0;
}

Установите библиотеку libzmq

sudo apt-get install libtool pkg-config build-essential autoconf
automake
./autogen.sh
./configure
make
sudo make install

Скачайте и установите cppzmq

git clone https://github.com/zeromq/cppzmq
cd cppzmq
cmake .
sudo make -j4 install

Замените /demo/main.cpp на main.cpp из этого репозитория

Скомпилируйте main.cpp

cd demo
mkdir build
cd build
cmake ..
make
./demo

Место срабатывания уязвимости

Следующий код в Libzmq/src/v2_decoder.cpp содержит целочисленное переполнение. Когда значение msg_size_ очень велико, read_pos+msg_size_ оказывается очень маленьким числом, из-за чего условие if становится ложным, и программа не инициализирует размер сообщения. if (unlikely (!zero_copy || ((unsigned char *) read_pos + msg_size_ > (allocator.data () + allocator.size ())))) {

Таким образом, записанное сообщение может перезаписать память за буфером. Память за буфером представляет собой структуру content_t, которая содержит указатель на функцию ffn, а также параметры data и hint. 67 struct content_t 68 { 69 void *data; 70 size_t size; 71 msg_free_fn *ffn; 72 void *hint; 73 zmq::atomic_counter_t refcnt; 74 };

Эксплуатация уязвимости

Управляя передаваемым сообщением, можно перезаписать указанные указатели на функции и параметры конкретными функциями и их параметрами, тем самым реализовав атаку.