В своём отчёте Mantas упоминает использование устаревшей версии PuTTY 0.64, приложив также обратную трассировку (back-trace) аварийного завершения из-за двойного освобождения.

Ход исследования

Чтобы разобраться глубже, мы развернули среду с уязвимой версией OpenSSH 9.1p1 и скопировали старую версию PuTTY 0.64, выпущенную 8 лет назад — 28 февраля 2015 года.

После попытки подключения с помощью PuTTY 0.64 к уязвимому серверу OpenSSH была получена следующая ошибка:

Поскольку устаревшие алгоритмы обмена ключами клиента не поддерживаются новой версией OpenSSH, мы отредактировали файл sshd_config, добавив следующую строку в /etc/ssh/sshd_config : KexAlgorithms +diffie-hellman-group1-sha1

После перезапуска SSH-сервера и повторной попытки была получена следующая ошибка:

После добавления ещё одной строки конфигурации в sshd_config нам удалось подключиться к уязвимому серверу OpenSSH и воспроизвести сбой:

HostKeyAlgorithms +ssh-rsa

При запуске сервера в режиме отладки (с флагом -ddd) было получено следующее отладочное сообщение:

ssh_sandbox_violation: unexpected system call (arch:0xc000003e,syscall:20 @ 0x7fd7473fb771) [preauth]

Системный вызов номер 20 — это writev(), что соответствует отчёту в Bugzilla.

Обратите внимание: изменения конфигурации, которые мы внесли, были нужны только для воспроизведения уязвимости через PuTTY и не требуются для её эксплуатации. Как мы увидим в PoC, конфигурация по умолчанию уязвима.

Подробности уязвимости

Мы начали с изучения коммита с исправлением, в котором указано, что за двойное освобождение отвечает функция compat_kex_proposal(). Когда опция совместимости соединения SSH_OLD_DHGEX истинна в [1], второй аргумент p присваивается переменной cp в [2], а затем освобождается в [3].

Вызов compat_kex_proposal() находится внутри функции do_ssh2_kex():

Освобождённый в compat_kex_proposal() указатель cp=p ссылается на аргумент options.kex_algorithms.

При поиске kex_algorithms в исходном коде мы наткнулись на assemble_algorithms из аварийного завершения, описанного в отчёте Bugzilla:

ASSEMBLE — это макрос для вызова функции kex_assemble_names():

Функция kex_assemble_names() вызывается с адресом o->kex_algorithms в качестве первого аргумента (который является listp). Именно здесь происходит второе освобождение.

Поскольку указатель options.kex_algorithms был освобождён и стал висячим указателем, он освобождается ещё раз, что приводит к двойному освобождению.

Но где устанавливается опция SSH_OLD_DHGEX?

Внутри функции compat_banner(), которая определяет флаги ошибок (bug flags) на основе баннера протокола SSH. Структура с именем check[] перечисляет все идентификаторы SSH-клиентов и их флаги. В приведённом ниже фрагменте показаны идентификаторы клиентов, которым присвоена опция SSH_OLD_DHGEX. Также видно, что WinSCP, возможно, тоже способен вызвать такое поведение.

Эксплойт-концепция

Мы решили создать эксплойт-концепцию для отказа в обслуживании (Denial of Service) на Python из-за её гибкости и переносимости. Эксплойт-концепция вызывает двойное освобождение с помощью пакета paramiko и приводит к аварийному завершению (abort).

paramiko — это широко распространённая реализация SSH на Python, предоставляющая функциональность как сервера, так и клиента. Для PoC мы изменили баннер версии подключающегося клиента, чтобы он соответствовал устаревшему клиенту, например PuTTY v0.64.

Доступен в нашем репозитории на GitHub.

Эксплойт-концепция для RCE

Эксплойт размещает другую структуру с именем EVP_AES_KEY вместо освобождённого options.kex_algorithms. Позже, при двойном освобождении, она снова освобождается. Затем её содержимое перезаписывается другим чанком с использованием authctxt->user или authctxt->style.

Когда EVP_Cipher() впоследствии попытается использовать этот EVP_AES_KEY, он будет использовать этот чанк, перезаписавший его данными, контролируемыми атакующим.

Влияние уязвимости

Демон OpenSSH ожидает подключения от клиентов. Для каждого входящего подключения он создаёт (форкает) новый дочерний демон. Дочерние демоны обрабатывают обмен ключами, шифрование, аутентификацию, выполнение команд и обмен данными.

Уязвимость представляет собой двойное освобождение, которое теоретически может быть использовано для отказа в обслуживании, как показано в нашей эксплойт-концепции, а возможно, и для удалённого выполнения кода (RCE), хотя создание рабочего эксплойта считается сложным из-за применяемых мер безопасности, таких как песочница (sandbox) и механизм разделения привилегий (Privilege Separation). В случае отказа в обслуживании следует отметить, что аварийно завершаются только дочерние демоны из-за нарушения песочницы при попытке вызова writev(), поэтому основной серверный демон остаётся свободным для обработки новых клиентов.

Данной уязвимости присвоен высокий уровень серьёзности по следующим причинам:

1. Никаких предварительных условий не требуется. Конфигурация по умолчанию уязвима.

2. Если не применяются механизмы защиты от эксплуатации памяти (например, ASLR или NX), возможен RCE, согласно недавней публикации.

3. Что касается атаки типа «отказ в обслуживании», аварийное завершение дочернего рабочего процесса гораздо менее серьёзно, чем DoS, который приводит к падению важного демона, но оба они получат высокий (High) балл CVSS по влиянию на доступность (Availability).

4. Следует отметить, что OpenSSH применяет такие меры безопасности, как песочница и механизм разделения привилегий, но они не должны снижать серьёзность возможной атаки с целью RCE.

Затронутые системы

Уязвимость применима только к OpenSSH версии 9.1p1 с конфигурацией по умолчанию, то есть никаких предварительных условий не требуется.