OpenSSH 9.1에 대한 익스플로잇 구축 진행 상황

Qualys는 작동하는 익스플로잇을 생성할 위험이 낮은 것으로 확인된 OpenSSH 9.1의 취약점을 사용하여 코드에 대한 제어권 이전을 시작하기 위해 malloc 및 double-free 보호를 우회하는 방법을 찾았습니다. 동시에 작동하는 익스플로잇을 생성할 가능성은 여전히 ​​큰 문제로 남아 있습니다.

이 취약점은 사전 인증 이중 해제로 인해 발생합니다. 취약점이 발현되는 조건을 생성하려면 SSH 클라이언트 배너를 "SSH-2.0-FuTTYSH_9.1p1"(또는 다른 이전 SSH 클라이언트)로 변경하여 "SSH_BUG_CURVE25519PAD" 및 "SSH_OLD_DHGEX" 플래그를 설정하는 것으로 충분합니다. 이러한 플래그를 설정한 후 "options.kex_algorithms" 버퍼의 메모리가 두 번 해제됩니다.

Qualys의 연구원들은 취약점을 조작하는 동안 실행할 다음 명령에 대한 포인터가 포함된 "%rip" 프로세서 레지스터를 제어할 수 있었습니다. 개발된 활용 기술을 사용하면 OpenSSH 7.2에서 기본적으로 제공되는 업데이트되지 않은 OpenBSD 9.1 환경에서 sshd 프로세스의 주소 공간 내 어느 지점으로든 제어권을 전송할 수 있습니다.

제안된 프로토타입은 공격의 첫 번째 단계만 구현한 것입니다. 작동하는 익스플로잇을 생성하려면 ASLR, NX 및 ROP 보호 메커니즘을 우회하고 샌드박스 격리를 탈출해야 하지만 그럴 가능성은 거의 없습니다. ASLR, NX, ROP 우회 문제를 해결하려면 주소에 대한 정보를 획득해야 하는데, 이는 정보 유출로 이어지는 또 다른 취약점을 식별함으로써 달성할 수 있습니다. 권한이 있는 상위 프로세스 또는 커널의 버그는 샌드박스를 종료하는 데 도움이 될 수 있습니다.

출처 : opennet.ru