halcy0nic/cve-2022-34556Доказательство концепции для CVE-2022-34556
PicoC v3.2.2 содержит разыменование нулевого указателя в variable.c. Любой проект или библиотека, использующие PicoC, также подвержены этой проблеме. Примером может служить picoc-js.
Чтобы воспроизвести уязвимость разыменования нулевого указателя в PicoC, необходимо сначала загрузить и скомпилировать уязвимую версию (v3.2.2) библиотеки и интерпретатора PicoC:
git clone https://github.com/jpoirier/picoc.git
cd picoc
git checkout a97d94fa3d4d35c6b78b7de69faac7643e34de22
make
Запустите интерпретатор в режиме скрипта с файлом poc.c, включённым в этот репозиторий:
$ ./picoc -s poc.c
Вы получите segfault, и программа упадёт. Это происходит из-за разыменования нулевого указателя, которое не перехватывается и не обрабатывается библиотекой или интерпретатором. Мы можем перекомпилировать проект с санитайзером адресов (ASAN), чтобы лучше понять, где это происходит. Добавим -fsanitize=address в переменную CFLAGS в Makefile и перекомпилируем библиотеку:
CFLAGS=-Wall -g -std=gnu11 -pedantic -DUNIX_HOST -DVER=\"`git show-ref --abbrev=8 --head --hash head`\" -DTAG=\"`git describe --abbrev=0 --tags`\" -fsanitize=address
Перекомпилируйте библиотеку и интерпретатор (из корневого каталога picoc):
make clean
make
При выполнении программы мы получаем следующий вывод от ASAN, показывающий, что разыменование нулевого указателя происходит на строке 519 в variable.c:
AddressSanitizer:DEADLYSIGNAL
=================================================================
==157769==ERROR: AddressSanitizer: SEGV on unknown address 0x000000000018 (pc 0x55b55571240e bp 0x7ffe4f5c39b0 sp 0x7ffe4f5c3980 T0)
==157769==The signal is caused by a READ memory access.
==157769==Hint: address points to the zero page.
#0 0x55b55571240e in VariableDereferencePointer /dev/shm/picoc/variable.c:519
#1 0x55b5556fefea in ExpressionStackPushDereference /dev/shm/picoc/expression.c:430
#2 0x55b555701881 in ExpressionPrefixOperator /dev/shm/picoc/expression.c:687
#3 0x55b5557053d5 in ExpressionStackCollapse /dev/shm/picoc/expression.c:1257
#4 0x55b555706e35 in ExpressionParse /dev/shm/picoc/expression.c:1553
#5 0x55b5556fb6a0 in ParseStatement /dev/shm/picoc/parse.c:646
#6 0x55b5556fd380 in PicocParse /dev/shm/picoc/parse.c:897
#7 0x55b555715d0e in PicocPlatformScanFile platform/platform_unix.c:129
#8 0x55b5556ec213 in main /dev/shm/picoc/picoc.c:62
#9 0x7f15bd767189 in __libc_start_call_main ../sysdeps/nptl/libc_start_call_main.h:58
#10 0x7f15bd767244 in __libc_start_main_impl ../csu/libc-start.c:381
#11 0x55b5556ebd40 in _start (/dev/shm/picoc/picoc+0x16d40)
AddressSanitizer can not provide additional info.
SUMMARY: AddressSanitizer: SEGV /dev/shm/picoc/variable.c:519 in VariableDereferencePointer
==157769==ABORTING
519: *DerefType = PointerValue->Typ->FromType;