Edusammud OpenSSH 9.1 kasutusvõimaluse loomisel

Qualys on leidnud viisi, kuidas mööda hiilida malloc ja double-free kaitsetest, et algatada juhtimisülekanne, kasutades OpenSSH 9.1 haavatavust, mille puhul toimiva haavatavuse loomise riski peeti madalaks. Toimiva haavatavuse loomise võimalikkus on aga endiselt väga küsitav.

Haavatavuse põhjustab mäluruumi kahekordne vabastamine eelautentimise etapis. Haavatavuse loomiseks muutke lihtsalt SSH-kliendi bänneriks "SSH-2.0-FuTTYSH_9.1p1" (või mõneks muuks vanemaks SSH-kliendiks), et määrata lipud "SSH_BUG_CURVE25519PAD" ja "SSH_OLD_DHGEX". Pärast nende lippude määramist vabastatakse puhver "options.kex_algorithms" kaks korda.

Haavatavuse manipuleerimise abil suutsid Qualysi teadlased saada kontrolli protsessori registri "%rip" üle, mis sisaldab pointerit järgmisele täidetavale käsule. Nende väljatöötatud ärakasutamise tehnika võimaldab juhtimise üle kanda mis tahes punkti sshd protsessi aadressiruumis paigamata OpenBSD 7.2 keskkonnas, mis on OpenSSH 9.1 vaikeversioon.

Märgitakse, et pakutud prototüüp on vaid esimese etapi rünnak – toimiva rünnaku loomiseks on vaja mööda hiilida ASLR-i, NX-i ja ROP-i kaitsemehhanismidest ning murda välja liivakasti isolatsioonist, mis on ebatõenäoline. ASLR-i, NX-i ja ROP-i möödahiilimiseks on vaja hankida aadressiteavet, mida saab saavutada teise haavatavuse tuvastamisega, mis viib teabe lekkimiseni. Liivakastist väljamurdmiseks võib abiks olla viga privilegeeritud vanemprotsessis või kernelis.

Allikas: opennet.ru