一个存在了17年的漏洞—pppd 栈溢出(cve-2020-8597)漏洞分析

阅读量    508546 | 评论 1

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

H4l0@海特实验室

前言

在 3月6号,国外安全研究员 Ilja Van Sprundel(IOActive) 发现了 pppd 组件的 EAP 协议中一个存在了 17 年的严重的栈溢出漏洞,导致所以使用 pppd 组件的系统都受影响,包括 Ubuntu、Debian、Fedora 等,有潜在的远程代码执行的风险,CVSS 评分为 9.8。

 

前置知识

1.EAP 协议概念:

EAP协议是使用可扩展的身份验证协议的简称,全称Extensible Authentication Protocol。是一系列验证方式的集合,设计理念是满足任何链路层的身份验证需求,支持多种链路层认证方式。

因为 EAP 协议主要用于认证,因此这个漏洞影响了众多协议,如 pppoe、pptp 等。

2.EAP 协议帧格式

字段 占用字节数 描述
Code 1个字节 表示EAP帧四种类型:

1.Request;2.Response    3.Success;4.Failure

Identifier 1个字节 用于匹配Request和Response。Identifier的值和系统端口一起单独标识一个认证过程
Length 2个字节 表示EAP帧的总长度
Data 0或更多字节 表示EAP数据
  • code 用于标识 eap 协议为请求或者响应包,或者认证成功或者认证失败
  • length 字段用于表示 eap 帧 的长度,漏洞产生的原因就是因为对这个字段处理不当造成的。

 

漏洞分析

查看 github 上的 commit,发现 eap.c 文件中, 1420 行和 1846 行处的长度处理不当导致的一处栈溢出:

这两段代码分别位于 eap_request() 和 eap_response() 函数中,且都位于 EAPT_MD5CHAP 分支,很明显这两个是用来处理 EAP 协议的数据包请求和响应的函数。

  • BCOPY 函数的定义:
#define BCOPY(s, d, l)      memcpy(d, s, l) //memcpy 函数的封装

也就是第一个参数的指针指向的内存区域的字符,复制到第二个参数的内存空间中。因为第二个参数(rhostname)位于函数的栈上,导致复制完数据之后导致栈溢出,且可控制返回地址。

char rhostname[256];

接着分析一下触发的条件:

...
if (vallen < 8 || vallen > len) {
                error("EAP: MD5-Challenge with bad length %d (8..%d)",vallen, len);
                ...
                break;
            }
            /* Not so likely to happen. */
            if (vallen >= len + sizeof (rhostname)) {
                ...
                BCOPY(inp + vallen, rhostname, sizeof (rhostname) - 1);
                rhostname[sizeof (rhostname) - 1] = '\0';
            } else {
                BCOPY(inp + vallen, rhostname, len - vallen);
                rhostname[len - vallen] = '\0';
            }
...
  • vallen 表示的是 MD5CHAP 的长度字段,为一个常量。

如果要执行下面的代码段,必定要满足vallen <= len,所以这里必定会进入 else 的分支,只要 eap 数据包的长度 len 足够大,且 len – vallen 的长度大于 rhostname (/etc/hostname 中的内容)字符串的话,就会产生栈溢出。

因为请求和响应两个函数都存在栈溢出,因此在 client 端和 server 端均存在漏洞,在 server 端溢出就能够控制函数的返回地址,导致潜在的远程代码执行漏洞。

 

漏洞复现

因为受影响的协议包括了 ppp、pppoe(Point-to-Point Protocol Over Ethernet),这里就直接拿 pppd 这个二进制程序来进行漏洞复现。

环境搭建

因为搭建 ppp 服务或者 pppoe 服务的话通常需要硬件环境,这里采取一种不依靠硬件的方法,即搭建两个虚拟机,用虚拟串口连接的方式进行通信(就像是对端的实体端到端连接)。具体步骤如下:

1.使用 virtual box 运行两台 ubuntu 虚拟机,一台搭建好了之后可以直接复制到另一台。

2.将作为 server 虚拟机的 “设置 -> 端口” 选项下,勾选启用串口,选择 COM1 (在 linux 下 COM1 可以看作是 /dev/ttyS0 设备)

3.client 端的虚拟机也是同样的设置方法,但是需要注意的是,这里一定要勾选上 “连接至现有的通道或者套接字”!!,不勾选上的话虚拟机的串口是无法通信的。

4.先将 server 端的虚拟机启动,之后再启动 client 端虚拟机。注意顺序,否则会报错。

测试联通性

测试串口的联通性,即一端将数据输入到 /dev/ttyS0 设备中;一端进行读取。

发现这里的串口是通的,可以互相访问。

编译pppd组件

从 github 上 clone 代码到本地(server 端和 client 端都需要),并编译、安装:

git clone https://github.com/paulusmack/ppp.git
cd ppp/
git checkout ppp-2.4.8          // 切换到存在漏洞的分支
./configure
make -j8
make install

查看 pppd 的版本:

测试pppd通信

在 server 端运行下面的命令:

sudo pppd /dev/ttyS0 9600 noauth local lock defaultroute debug nodetach 172.16.1.1:172.16.1.2 ms-dns 8.8.8.8
  • 参数的介绍:

/dev/ttyS0      // 连接到的串口
9600            // 波特率
noauth          // 无密码认证
local           // 不要使用数据机控制线路
lock            // 在串口上锁定并使用互斥存取
defaultroute    // 采用默认路由
debug           // 显示连接过程中的封包内容
nodetach        // 不脱离终端

运行命令之后,会将生成的 ppp0 端口绑定到 /dev/ttyS0 串口,这样 client 端可以通过访问 /dev/ttyS0 串口来访问 ppp 服务。

然后在 client 端运行下面的命令:

sudo pppd noauth local lock defaultroute debug nodetach /dev/ttyS0 9600

当获取到 IP 地址之后,就相当于客户端和服务端的端到端连接成功了,接着就可以测试漏洞点。

触发栈溢出漏洞

接着我们来测试 EAP 协议的栈溢出漏洞,所以这里前提就是需要服务端开启 eap 认证。

先在服务端运行命令,开启 eap 认证:

sudo pppd /dev/ttyS0 9600 auth local lock defaultroute debug nodetach 172.16.1.1:172.16.1.2 ms-dns 8.8.8.8 require-eap

为了方便复现,在客户端的 eap.c 源代码 eap_request() 的函数中,在 EAPT_MD5CHAP 分支下,手动 patch 代码,加入发送到服务端的 payload:

重新编译客户端的 pppd 程序:

make clean
./configure
make -j8
make install

在客户端运行命令:

sudo pppd noauth local lock defaultroute debug nodetach /dev/ttyS0 9600 user test password test

运行起来之后很快会发现服务端的进程崩溃:

程序保护机制

使用 checksec 命令查看程序保护机制,发现这里开启了 canary 保护,无 pie 保护,所以这里只需要绕过 canary 机制即可。

漏洞补丁

将判断改成 len – vallen >= sizeof (rhostname),当包的长度大于 sizeof (rhostname) 时,就会进入 if 判断,最多只会复制 sizeof (rhostname) 大小的数据,防止了栈溢出漏洞的发生。

...
-       if (vallen >= len + sizeof (rhostname)) {
+       if (len - vallen >= sizeof (rhostname)) {
             dbglog("EAP: trimming really long peer name down");
             BCOPY(inp + vallen, rhostname, sizeof (rhostname) - 1);
             rhostname[sizeof (rhostname) - 1] = '\0';
        } else {
             BCOPY(inp + vallen, rhostname, len - vallen);
             rhostname[len - vallen] = '\0';
        }
...

 

参考资料

https://github.com/paulusmack/ppp
https://github.com/marcinguy/CVE-2020-8597
https://gist.github.com/nstarke/551433bcc72ff95588e168a0bb666124

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多