პროგრესი OpenSSH 9.1-ისთვის ექსპლოიტის შექმნაში

Qualys-მა იპოვა გზა, რომ გვერდი აუაროს malloc-ისა და double-free დაცვის მექანიზმებს, რათა OpenSSH 9.1-ში არსებული დაუცველობის გამოყენებით კონტროლის გადაცემა დაიწყოს, რომლისთვისაც მოქმედი ექსპლოიტის შექმნის რისკი დაბალ დონეზე ითვლებოდა. თუმცა, მოქმედი ექსპლოიტის შექმნის შესაძლებლობა კვლავ საეჭვოა.

დაუცველობა გამოწვეულია წინასწარი ავტორიზაციის ფაზაში მეხსიერების სივრცის ორმაგი გათავისუფლებით. დაუცველობის შესაქმნელად, უბრალოდ შეცვალეთ SSH კლიენტის ბანერი „SSH-2.0-FuTTYSH_9.1p1“-ზე (ან სხვა ძველ SSH კლიენტზე), რათა დააყენოთ „SSH_BUG_CURVE25519PAD“ და „SSH_OLD_DHGEX“ დროშები. ამ დროშების დაყენების შემდეგ, „options.kex_algorithms“ ბუფერი ორჯერ თავისუფლდება.

დაუცველობის მანიპულირებით, Qualys-ის მკვლევრებმა შეძლეს „%rip“ პროცესორის რეგისტრის კონტროლის მოპოვება, რომელიც შეიცავს შემდეგ შესასრულებელ ინსტრუქციაზე მითითებას. მათ მიერ შემუშავებული ექსპლუატაციის ტექნიკა საშუალებას იძლევა, კონტროლი გადაეცეს sshd პროცესის მისამართების სივრცის ნებისმიერ წერტილს დაუპატჩებელ OpenBSD 7.2 გარემოში, რომელიც OpenSSH 9.1-ის ნაგულისხმევი ვერსიაა.

აღსანიშნავია, რომ შემოთავაზებული პროტოტიპი მხოლოდ პირველი ეტაპის შეტევაა — მოქმედი ექსპლოიტის შესაქმნელად საჭიროა ASLR, NX და ROP დაცვის მექანიზმების გვერდის ავლა და sandbox იზოლაციის გამოსვლა, რაც ნაკლებად სავარაუდოა. ASLR, NX და ROP გვერდის ავლა მოითხოვს მისამართის ინფორმაციის მოპოვებას, რაც შეიძლება მიღწეული იქნას ინფორმაციის გაჟონვის გამომწვევი სხვა დაუცველობის იდენტიფიცირებით. პრივილეგირებულ მშობელ პროცესში ან ბირთვში არსებული შეცდომა შეიძლება სასარგებლო იყოს sandbox-დან გამოსვლისთვის.

წყარო: opennet.ru