Улучшение публичного эксплойта для CVE-2022-24834

Автор

Исследовательская группа Conviso

Описание

Команда из Ricerca Security (@RicercaSec) обнаружила и успешно эксплуатировала интересную уязвимость (CVE-2022-24834) в интерпретаторе Lua, включённом в Redis. Эта уязвимость представляет собой переполнение кучи в библиотеке cjson, подробное описание можно найти здесь.

Мы заметили некоторые жёстко заданные смещения [2] [3], которые могут доставить неудобства тем, кто хочет протестировать эксплойт, поэтому решили их удалить. Основная цель состояла в том, чтобы сделать его более универсальным и немного изучить внутренности Lua.

Внесённые нами изменения

• Мы использовали огромную строку, чтобы можно было легче читать произвольные адреса памяти;
• Мы использовали сопрограмму Lua для утечки адресов стека и libc — эта техника описана Сэло (@5aelo);
• Мы добавили функцию разрешения символов (local system_addr = resolve_symbol_gnu(libc_leak, "system"));
• Мы добавили автоматический поиск гаджетов;
• Мы изменили оригинальный exploit.py для использования pwntools;
• Мы добавили обработчик reverse shell в exploit.py.

Тесты

• Redis 7.0.11 на Ubuntu 20.04 (собственная компиляция) — УСПЕШНО
• Redis 7.0.11 на Ubuntu 20.04 (через apt из официального репозитория Redis) — УСПЕШНО
• Redis 7.0.11 на Ubuntu 20.04 (через docker образ redis:7.0.11) — УСПЕШНО
• Redis 6.2.12 на Ubuntu 20.04 (через docker образ redis:6.2.12) — УСПЕШНО
• Redis 7.0.11 на Debian 11 (через apt из официального репозитория Redis) — УСПЕШНО
• Redis 5.0.7 на Ubuntu 20.04 (через apt) — КРАХ

Благодарности

• @RicercaSec — за уязвимость, отличный разбор и начальный эксплойт;
• @5aelo — за технику с сопрограммой.

Демонстрация

Версия 6.2.12

Версия 7.0.11

Ссылки

[1] https://ricercasecurity.blogspot.com/2023/07/fuzzing-farm-4-hunting-and-exploiting-0.html

[2] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L341

[3] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L362-L365

[4] https://saelo.github.io/posts/pwning-lua-through-load.html