CVE-2022-24834 公开利用程序的改进

作者

Conviso Research Team

描述

Ricerca Security (@RicercaSec) 团队发现并成功利用了一个 Redis 所包含的 Lua 解释器中的有趣漏洞 (CVE-2022-24834)。该漏洞是 cjson 库中的堆溢出漏洞，详细的分析可参见此处。

我们注意到一些硬编码的偏移量 [2] [3]，这可能会给希望测试该漏洞的人带来不便，因此我们决定将其移除。主要目标是使其更通用，并学习一些 Lua 内部机制。

我们进行的修改

• 我们使用了一个巨大的字符串，以便更轻松地读取任意内存地址；
• 我们使用了 Lua 协程来泄露栈和 libc 地址，该技术由 Saelo (@5aelo) 在其文档中介绍；
• 我们包含了一个符号解析函数 (local system_addr = resolve_symbol_gnu(libc_leak, "system"))
• 我们包含了一个自动 gadget 查找器；
• 我们修改了原始的 exploit.py，改用 pwntools；
• 我们在 exploit.py 中添加了一个反向 shell 处理程序。

测试

• Redis 7.0.11 (Ubuntu 20.04 上自行编译) - 成功
• Redis 7.0.11 (Ubuntu 20.04 上通过 apt 使用 Redis 官方仓库) - 成功
• Redis 7.0.11 (Ubuntu 20.04 上通过 docker 镜像 redis:7.0.11) - 成功
• Redis 6.2.12 (Ubuntu 20.04 上通过 docker 镜像 redis:6.2.12) - 成功
• Redis 7.0.11 (Debian 11 上通过 apt 使用 Redis 官方仓库) - 成功
• Redis 5.0.7 (Ubuntu 20.04 上通过 apt) - 崩溃

致谢

• @RicercaSec - 发现漏洞、撰写优秀分析文章及初始利用程序；
• @5aelo - 提供协程技术。

演示

版本 6.2.12

版本 7.0.11

参考

[1] https://ricercasecurity.blogspot.com/2023/07/fuzzing-farm-4-hunting-and-exploiting-0.html

[2] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L341

[3] https://github.com/RICSecLab/exploit-poc-public/blob/main/CVE-2022-24834/exploit.lua#L362-L365

[4] https://saelo.github.io/posts/pwning-lua-through-load.html