CVE-2025-47917 Эксплойт (Use-After-Free в mbedTLS)

Автор : Byte Reaper

Telegram : @ByteReaper0

CVE : CVE-2025-47917

Уязвимость : Use-After-Free (UAF) в разборе имён mbedTLS 3.6.4

Описание

Этот репозиторий содержит эксплойт, нацеленный на уязвимость Use-After-Free в функции разбора имён mbedtls_x509_string_to_names() библиотеки mbedTLS. Успешная эксплуатация позволяет выполнить произвольный код с привилегиями root путём перехвата освобождённых метаданных кучи и перенаправления потока управления на внедрённый шеллкод.

Предварительные требования

1. Операционная система: Linux (тестировалось на Kali Linux)

2. Привилегии root: Требуются для отключения ASLR и выполнения внедрённого шеллкода

3. Библиотеки разработки mbedTLS (mbedTLS < 3.6.4):

   root@kitploit:~

   sudo apt update
   sudo apt install -y libmbedtls-dev
   

4. Инструменты сборки: gcc, make (опционально)

Компиляция

Укажите пути к заголовочным файлам и библиотекам в соответствии с вашей установкой:

gcc /path/to/exploit.c \
    -I/usr/local/include \
    -L/usr/local/lib \
    -lmbedtls -lmbedx509 -lmbedcrypto \
    -Wl,-rpath,/usr/local/lib \
    -o exploit_UAF

Использование

1. Отключите ASLR (рандомизацию адресного пространства):

   root@kitploit:~

   echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
   

2. Подготовьте слушатель для обратного шелла на атакующей машине (порт 4454):

   root@kitploit:~

   nc -lvnp 4454
   

3. Запустите эксплойт с привилегиями root:

   root@kitploit:~

   sudo ./exploit_UAF
   

Порядок эксплуатации

1. Проверка ASLR: checkAslr() читает /proc/sys/kernel/randomize_va_space для проверки, что ASLR отключён. Завершает работу, если включён.
2. Первый вызов mbedtls_x509_string_to_names(): Инициализирует пустой список данных с именем.
3. Heap Spray: paddingChunk() выделяет множество фиктивных структур named-data для заполнения записей списка свободных блоков управляемым содержимым, указывающим на шеллкод.
4. Второй вызов mbedtls_x509_string_to_names(): Вызывает условие Use-After-Free, повторно используя освобождённый блок, содержащий поддельные метаданные.
5. Внедрение шеллкода: Шеллкод отображается с правами RWX через mmap(), копируется и выполняется через повреждённый указатель named_data->val.p.

Шеллкод обратного шелла

• Целевой IP: 192.168.92.187
• Целевой порт: 4454

Шеллкод выполняет последовательность socket + connect + dup2, затем execve("/bin/sh").

Этические и правовые оговорки

• Этот код предоставлен только для авторизованных исследований безопасности и образовательных целей.
• Несанкционированное использование против систем, на которые у вас нет явного разрешения, незаконно и неэтично.
• Всегда получайте письменное разрешение перед тестированием любой сети или хоста.

Лицензия

MIT