CVE-2020-11945 Squid未授权整数溢出分析

阅读量    548469 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

Squid cache(简称为Squid)是一个流行的自由软件(GNU通用公共许可证)的代理服务器和Web缓存服务器。Squid 的用途很多,可以作为网页服务器的前置cache服务器缓存相关请求来提高Web服务器的速度,也可以为一组人共享网络资源而缓存万维网、域名系统和其他网络搜索,以及通过过滤流量提高网络安全,在局域网通过代理上网等。

漏洞简介

Squid的HTTP Digest认证在未授权的并且高并发的情况下存在整数溢出漏洞风险,随后导致UAF。Squid 的 HTTPDigest 认证是非默认开启。

漏洞基本信息

公告:

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11945

作者:synacktiv

影响版本:

Squid 5.x -> 5.0.1

Squid 2.x -> 2.7.STABLE9

Squid 3.x -> 3.5.28

Squid 4.x -> 4.10

修复版本

Squid 4.11 and 5.0.2

注:本篇文章仅在上述条件下调试分析

 

漏洞分析

通过 patch 分析得出,溢出的是references字段:

references溢出后会导致 _digest_nonce_h 数据结构提前释放,导致UAF:

创建_digest_nonce_h(会生成一个固定随机字符串凭证发送给用户)实例时references为1,每个request 请求references字段会加一。request结束后references会减一。因为request请求到结束的时间较短,需要大量的并发数量的累加references导致触发漏洞。

Squid digest 认证配置:

auth_paramdigest program /usr/local/squid/bin/digest_file_auth -c /usr/local/squid/digest.passwd
auth_paramdigest children 5
auth_paramdigest realm testrealm
auth_paramdigest nonce_garbage_interval 5 minutes
auth_paramdigest nonce_max_duration 30 minutes
auth_paramdigest nonce_max_count 50
acltest proxy_auth REQUIRED
http_access allow  test

1.首先获取一个服务器的 nonce 字段值:

2.通过nonce字段值,短时间高并发的发送报文

CONNECTtest.com:443 HTTP/1.1
Host:test.com:443
Proxy-Connection:keep-alive
User-Agent:Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/69.0.3497.100Safari/537.36
Proxy-Authorization:Digest username="11111", realm="33333",nonce="dcea472040e3be38250541e9a1f6b768",uri="browser.gwdang.com:443", response="b12b53054f24f91c4b15cf873f22e298",qop=auth, nc=00000001, cnonce="70c18c47cce02533"

在实验中,单台虚拟机中访问可达700多次,而需要累计超过32767次后触发漏洞,效果如下:

危害

使用该Digest验证的Squid服务器,理论上容易遭受远程DOS攻击,配合其它漏洞可能导致信息泄露和远程代码执行,但是在实际验证中,触发整数溢出不太容易,实际危害不大。

参考引用

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11945

https://github.com/squid-cache/squid/commit/eeebf0f37a72a2de08348e85ae34b02c34e9a811?diff=unified

https://www.openwall.com/lists/oss-security/2020/04/23/2

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多