Débordement de tampon dans Toxcore, exploité via l'envoi d'un paquet UDP

Dans Toxcore, une implémentation de référence du protocole de messagerie P2P Tox, une vulnérabilité (CVE-2021-44847) a été identifiée, permettant potentiellement d'initier l'exécution de code lors du traitement d'un paquet UDP spécialement formaté. Tous les utilisateurs d'applications basées sur Toxcore dont le transport UDP n'est pas désactivé sont affectés. Une attaque suffit d'envoyer un paquet UDP en connaissant l'adresse IP, le port réseau et la clé DHT ouverte de la victime (ces informations étant accessibles publiquement dans DHT, l'attaque pourrait être réalisée contre n'importe quel utilisateur ou nœud DHT).

Le problème se manifestait dans les versions de toxcore de 0.1.9 à 0.2.12 et a été corrigé dans la version 0.2.13. À ce jour, seul le projet qTox a publié une mise à jour corrigeant la vulnérabilité parmi les applications clientes. Comme solution de contournement pour se protéger, il est possible de désactiver l'utilisation de l'UDP tout en conservant le support du TCP.

La vulnérabilité provient d'un débordement de mémoire tampon dans la fonction handle_request(), résultant d'un calcul incorrect de la taille des données dans le paquet réseau. En particulier, la longueur des données chiffrées était déterminée dans le macro CRYPTO_SIZE, défini comme «1 + CRYPTO_PUBLIC_KEY_SIZE * 2 + CRYPTO_NONCE_SIZE», utilisé par la suite dans l'opération de soustraction «length — CRYPTO_SIZE». En raison de l'absence de parenthèses dans le macro, au lieu de soustraire la somme de toutes les valeurs, on effectuait une soustraction de 1 et une addition des autres parties. Par exemple, au lieu de «length — (1 + 32 * 2 + 24)», la taille du tampon était calculée comme «length — 1 + 32 * 2 + 24», ce qui entraînait l'écrasement des données dans la pile, au-delà de la limite du tampon.

Source : opennet.ru