CVE-2025-47917 漏洞利用（mbedTLS 中的 Use-After-Free）

作者 : Byte Reaper

Telegram : @ByteReaper0

CVE : CVE-2025-47917

漏洞类型 : mbedTLS 3.6.4 名称解析中的 Use-After-Free（UAF）

描述

该仓库包含一个针对 mbedTLS 库中 mbedtls_x509_string_to_names() 名称解析函数内 Use-After-Free 漏洞的利用程序。成功利用该漏洞可通过劫持已释放的堆元数据并将控制流重定向到注入的 shellcode，实现以 root 权限执行任意代码。

前提条件

1. 操作系统：Linux（已在 Kali Linux 上测试）

2. Root 权限：用于禁用 ASLR 和执行注入的 shellcode

3. mbedTLS 开发库（mbedTLS < 3.6.4）：

   root@kitploit:~

   sudo apt update
   sudo apt install -y libmbedtls-dev
   

4. 构建工具：gcc、make（可选）

编译

请根据你的安装调整 include/library 路径：

gcc /path/to/exploit.c \
    -I/usr/local/include \
    -L/usr/local/lib \
    -lmbedtls -lmbedx509 -lmbedcrypto \
    -Wl,-rpath,/usr/local/lib \
    -o exploit_UAF

使用方法

1. 禁用 ASLR（地址空间布局随机化）：

   root@kitploit:~

   echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
   

2. 准备监听器：在攻击机上为反向 shell 开启监听（端口 4454）：

   root@kitploit:~

   nc -lvnp 4454
   

3. 以 root 权限运行利用程序：

   root@kitploit:~

   sudo ./exploit_UAF
   

利用流程

1. ASLR 检查：checkAslr() 读取 /proc/sys/kernel/randomize_va_space 以确保 ASLR 已禁用。若已启用则退出。
2. 第一次 mbedtls_x509_string_to_names() 调用：初始化一个空的 named-data 列表。
3. 堆喷：paddingChunk() 分配大量伪造的 named-data 结构体，用指向 shellcode 的可控内容填充空闲链表条目。
4. 第二次 mbedtls_x509_string_to_names() 调用：触发 Use-After-Free 条件，重用包含伪造元数据的已释放 chunk。
5. Shellcode 注入：通过 mmap() 将 shellcode 以 RWX 权限映射，复制后经由被破坏的 named_data->val.p 指针执行。

反向 Shell 的 Shellcode

• 目标 IP：192.168.92.187
• 目标端口：4454

该 shellcode 执行 socket + connect + dup2 序列，随后执行 execve("/bin/sh")。

道德与法律免责声明

• 本代码仅用于授权的安全研究和教育目的。
• 对未获得明确许可的系统进行未授权使用是非法且不道德的。
• 在对任何网络或主机进行测试之前，务必获得书面许可。

许可证

MIT