Vulnérabilité dans pppd et lwIP permettant d'exécuter du code à distance avec des droits root

Dans le paquet pppd une vulnérabilité a été identifiée CVE-2020-10174 (CVE-2020-8597), permettant d'exécuter son propre code en envoyant des requêtes d'authentification spécialement formatées aux systèmes utilisant le protocole PPP (Point-to-Point Protocol) ou PPPoE (PPP over Ethernet). Ces protocoles sont généralement utilisés par les fournisseurs pour établir des connexions via Ethernet ou DSL, et sont également utilisés dans certains VPN (par exemple, pptpd et openfortivpn). Pour vérifier si vos systèmes sont vulnérables à ce problème préparé prototype d'exploit.

La vulnérabilité est causée par un débordement de tampon dans l'implémentation du protocole d'authentification EAP (Extensible Authentication Protocol). Une attaque peut être réalisée avant l'authentification en envoyant un paquet de type EAPT_MD5CHAP, contenant un nom d'hôte très long, ne tenant pas dans le tampon alloué. En raison d'une erreur dans le code de vérification de la taille du champ rhostname, un attaquant peut écraser des données en dehors du tampon dans la pile et obtenir l'exécution à distance de son code avec les droits root. La vulnérabilité se manifeste du côté du serveur et du client, c'est-à-dire qu'il peut y avoir une attaque non seulement sur le serveur, mais aussi sur le client tentant de se connecter à un serveur contrôlé par l'attaquant (par exemple, l'attaquant peut d'abord compromettre le serveur via cette vulnérabilité, puis commencer à cibler les clients qui se connectent).

Le problème concerne les versions pppd de 2.4.2 à 2.4.8 inclus et a été corrigé sous la forme d'un correctif. La vulnérabilité concerne également touche la pile lwIP, mais dans la configuration par défaut de lwIP, le support de l'EAP n'est pas activé.

Le statut de correction du problème dans les distributions peut être consulté sur ces pages : Debian, Ubuntu, RHEL, Fedora, SUSE, OpenWRT, Arch, NetBSD. Dans RHEL, OpenWRT et SUSE, le paquet pppd est compilé avec la protection « Stack Smashing Protection » (mode « -fstack-protector » dans gcc), ce qui limite l'exploitation par écrasement. Outre les distributions, la vulnérabilité a également été confirmée dans certains produits Cisco (CallManager), TP-LINK et Synology (DiskStation Manager, VisualStation VS960HD et Router Manager), utilisant le code pppd ou lwIP.

Source : opennet.ru