התקדמות בבניית ניצול עבור OpenSSH 9.1

Qualys מצאה דרך לעקוף את malloc והגנה כפולה כדי ליזום העברת שליטה לקוד באמצעות פגיעות ב-OpenSSH 9.1 שנקבעה כבעלת סיכון נמוך ליצירת ניצול עובד. יחד עם זאת, האפשרות ליצור ניצול עובד נותרה שאלה גדולה.

הפגיעות נגרמת על ידי אימות מראש כפול חינם. כדי ליצור תנאים שהפגיעות תתבטא, מספיק לשנות את הבאנר של לקוח SSH ל-"SSH-2.0-FuTTYSH_9.1p1" (או לקוח SSH ישן אחר) כדי להגדיר את הדגלים "SSH_BUG_CURVE25519PAD" ו-"SSH_OLD_DHGEX". לאחר הגדרת הדגלים הללו, הזיכרון עבור מאגר "options.kex_algorithms" מתפנה פעמיים.

חוקרים מ-Qualys, תוך כדי מניפולציה של הפגיעות, הצליחו להשיג שליטה על אוגר המעבד "%rip", המכיל מצביע להוראה הבאה שתתבצע. טכניקת הניצול שפותחה מאפשרת לך להעביר שליטה לכל נקודה במרחב הכתובות של תהליך ה-sshd בסביבת OpenBSD 7.2 לא מעודכנת, המסופקת כברירת מחדל עם OpenSSH 9.1.

יצוין כי אב הטיפוס המוצע הוא יישום של השלב הראשון של המתקפה בלבד - כדי ליצור ניצול עובד, יש צורך לעקוף את מנגנוני ההגנה של ASLR, NX ו-ROP, ולהימלט מבידוד ארגז חול, דבר שאינו סביר. כדי לפתור את בעיית עקיפת ASLR, NX ו-ROP, יש צורך בקבלת מידע על כתובות, שניתן להשיג באמצעות זיהוי פגיעות נוספת המובילה לדליפת מידע. באג בתהליך האב הפריבילגי או בליבה יכול לעזור לצאת מארגז החול.

מקור: OpenNet.ru