Överflöde av buffert i Toxcore, utnyttjad genom att skicka UDP-paket

I Toxcore, den referensimplementation av P2P-meddelandprotokollet Tox, har en sårbarhet identifierats (CVE-2021-44847) som potentiellt kan leda till att kod exekveras vid hantering av ett särskilt formaterat UDP-paket. Alla användare av applikationer baserade på Toxcore som har UDP-trafik aktiverad är sårbara. För att utföra en attack räcker det med att skicka ett UDP-paket, med kännedom om IP-adressen, nätverksporten och den öppna DHT-nyckeln för offret (denna information är offentligt tillgänglig i DHT, vilket innebär att attacken kan riktas mot vilken användare eller DHT-nod som helst).

Problemet uppstod i toxcore-versioner från 0.1.9 till 0.2.12 och har åtgärdats i version 0.2.13. Av klientapplikationerna har endast projektet qTox släppt en uppdatering som åtgärdar sårbarheten. Som en tillfällig lösning kan man stänga av UDP-användning och istället stödja TCP.

Sårbarheten orsakas av en buffertöverflödning i funktionen handle_request(), som uppstår på grund av felaktig beräkning av datastorleken i nätverkspaketet. Specifikt bestämdes längden på de krypterade data i makrot CRYPTO_SIZE, som definierades som "1 + CRYPTO_PUBLIC_KEY_SIZE * 2 + CRYPTO_NONCE_SIZE", vilket senare användes i subtraktionsoperationen "length — CRYPTO_SIZE". På grund av avsaknaden av parenteser i makrot utfördes istället för subtraktionen av summan av alla värden en subtraktion av 1 och en addition av de övriga delarna. Till exempel, istället för "length — (1 + 32 * 2 + 24)" beräknades buffertens storlek som "length — 1 + 32 * 2 + 24", vilket ledde till att data på stacken överskrev utrymmet utanför bufferten.

Källa: opennet.ru