搜索

[13361] 2018-10-31_缓冲区溢出漏洞可导致内核崩溃，苹果多款操作系统均受影响

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2018-10-31_缓冲区溢出漏洞可导致内核崩溃，苹果多款操作系统均受影响 缓 冲 区 溢 出 漏 洞 可 导 致 内 核 崩 溃 ， 苹 果 多 款 操 作 系 统 均 受 影 响 F r e d d y   F r e e B u f   2 0 1 8 - 1 0 - 3 1 前 言 前 言 国 外 大 神 国 外 大 神 K e v i n   B a c k h o u s e 刚 刚 放 出 了 一 篇 博 文 ， 对 苹 果 操 作 系 统 内 核 中 发 现 的 堆 缓 冲 区 溢 出 漏 洞 （ 刚 刚 放 出 了 一 篇 博 文 ， 对 苹 果 操 作 系 统 内 核 中 发 现 的 堆 缓 冲 区 溢 出 漏 洞 （ C V E - 2 0 1 8 - 4 4 0 7 ） 进 行 了 一 番 解 构 。 ） 进 行 了 一 番 解 构 。 该 漏 洞 使 得 攻 击 者 只 要 接 入 同 一 W i - F i 网 络 ， 即 可 向 其 他 毫 不 知 情 的 用 户 发 送 恶 意 数 据 包 来 触 发 任 何 M a c 或 i O S 设 备 的 崩 溃 和 重 启 。 由 于 该 漏 洞 存 在 于 系 统 网 络 核 心 代 码 ， 因 此 任 何 反 病 毒 软 件 均 无 法 防 御 。 运 行 以 下 操 作 系 统 的 设 备 易 受 攻 击 ： A p p l e   i O S   1 1 及 更 早 版 本 ： 所 有 设 备 （ 升 级 到 i O S   1 2 的 部 分 设 备 ） A p p l e   m a c O S   H i g h   S i e r r a （ 受 影 响 的 最 高 版 本 为 1 0 . 1 3 . 6 ） ： 所 有 设 备 （ 通 过 安 全 更 新 2 0 1 8 - 0 0 1 修 复 ） A p p l e   m a c O S   S i e r r a （ 受 影 响 的 最 高 版 本 为 1 0 . 1 2 . 6 ） ： 所 有 设 备 （ 通 过 安 全 更 新 2 0 1 8 - 0 0 5 中 修 复 ） A p p l e   O S   X   E l   C a p i t a n 及 更 早 版 本 ： 所 有 设 备 好 在 K e v i n 在 发 现 这 个 漏 洞 后 马 上 就 向 苹 果 报 告 了 ， 苹 果 在 1 0 月 3 0 日 推 出 的 i O S   1 2 . 1 更 新 包 中 彻 底 修 复 了 这 个 漏 洞 。 概 述 概 述 该 漏 洞 是 苹 果 X N U 操 作 系 统 内 核 中 网 络 代 码 的 堆 缓 冲 区 溢 出 问 题 导 致 的 ， i O S 和 m a c O S 都 使 用 X N U ， 因 此 i P h o n e 、 i P a d 和 的 M a c B o o k 均 受 到 影 响 。 想 要 触 发 该 漏 洞 ， 攻 击 者 只 需 要 连 接 到 与 目 标 设 备 相 同 的 网 络 ， 发 送 恶 意 I P 数 据 到 目 标 设 备 的 I P 地 址 即 可 ， 无 需 诱 骗 用 户 进 行 任 何 交 互 操 作 。
举 个 例 子 ： 用 户 在 咖 啡 馆 使 用 免 费 W i - F i 时 ， 攻 击 者 可 以 加 入 相 同 的 无 线 网 络 并 向 用 户 的 设 备 发 送 恶 意 数 据 包 就 可 以 让 设 备 崩 溃 和 重 启 。 （ 攻 击 者 只 要 使 用 N M A P 工 具 就 能 很 方 便 地 获 得 设 备 I P 地 址 。 ） 由 于 该 漏 洞 的 成 因 来 源 于 系 统 的 核 心 代 码 ， 反 病 毒 软 件 也 无 法 防 御 。   K e v i n 在 运 行 M c A f e e   ®   E n d p o i n t   S e c u r i t y   f o r M a c 的 M a c 上 成 功 测 试 了 该 漏 洞 。 这 和 用 户 在 设 备 上 运 行 的 软 件 也 没 有 关 系 ， 即 使 没 有 打 开 任 何 端 口 ， 恶 意 数 据 包 仍 会 触 发 漏 洞 。 进 一 步 推 测 的 话 ， 由 于 攻 击 者 可 以 控 制 堆 缓 冲 区 溢 出 的 大 小 和 内 容 ， 因 此 他 们 可 能 利 用 此 漏 洞 在 目 标 设 备 执 行 远 程 代 码 。 缓 解 措 施 缓 解 措 施 在 未 升 级 到 最 新 版 本 操 作 系 统 的 设 备 上 ， 目 前 已 知 的 缓 解 措 施 只 有 以 下 两 个 ： 在 m a c O S 防 火 墙 中 启 用 隐 藏 模 式 可 防 止 攻 击 。 这 个 系 统 设 置 默 认 情 况 下 不 启 用 ， 需 要 用 户 手 动 开 启 。 i O S 设 备 不 支 持 隐 藏 模 式 。 不 接 入 公 共 无 线 网 络 。 触 发 该 漏 洞 的 唯 一 必 要 条 件 是 处 于 同 一 W i - F i 网 络 ， 该 漏 洞 不 支 持 通 过 互 联 网 发 送 恶 意 数 据 包 而 触 发 ， K e v i n 测 试 过 了 。
漏 洞 分 析 漏 洞 分 析 该 漏 洞 来 源 于 代 码 中 的 缓 冲 区 溢 出 （ b s d / n e t i n e t / i p _ i c m p . c : 3 3 9 ） ： 函 数 i c m p _ e r r o r 使 用 该 代 码 ， 目 的 是 “ 生 成 包 含 错 误 信 息 的 数 据 包 以 响 应 发 生 错 误 的 I P ” 。 它 使 用 I C M P 协 议 发 送 错 误 消 息 ， 引 发 错 误 的 数 据 报 头 包 含 在 I C M P 消 息 中 ， 上 述 第 3 3 9 行 代 码 调 用 m _ c o p y d a t a 的 目 的 是 复 制 错 误 数 据 包 的 报 头 到 I C M P 消 息 。 问 题 在 于 报 头 对 于 目 标 缓 冲 区 来 说 可 能 太 大 了 。 目 标 缓 冲 区 是 m b u f ， m b u f 是 一 种 数 据 类 型 ， 用 于 存 储 传 入 和 传 出 的 网 络 数 据 包 。 在 此 代 码 中 ， n 是 一 个 传 入 的 数 据 包 （ 包 含 不 受 信 任 的 数 据 ） ， 而 m 是 传 出 的 I C M P 数 据 包 。 我 们 可 以 看 到 ， i c p 是 指 向 m 的 指 针 。 m 在 第 2 9 4 行 或 第 2 9 6 行 进 行 部 署 ： 往 下 看 第 3 1 4 行 ， m t o d 用 于 获 取 m 的 数 据 指 针 ： m t o d 仅 仅 是 个 宏 ， 因 此 这 行 代 码 不 会 检 查 m b u f 是 否 足 以 容 纳 i c m p 结 构 。 此 外 ， 数 据 没 有 复 制 到 i c p ， 而 是 复 制 到 & i c p - > i c m p _ i p ， 存 在 + 8 字 节 偏 移 。 由 于 没 有 必 要 的 工 具 ， K e v i n 无 法 在 调 试 器 中 单 步 执 行 X N U 内 核 ， 因 此 对 于 m b u f 的 分 配 大 小 没 有 确 切 的 数 值 。 基 于 源 代 码 提 供 的 信 息 ， 这 里 推 测 m g e t h d r 创 建 一 个 m b u f 可 以 容 纳 8 8 个 字 节 ， m g e t c l 无 法 确 定 。 但 是 根 据 实 验 结 果 ， 触 发 该 缓 冲 区 溢 出 漏 洞 时 满 足 i c m p l e n   > =   8 4 的 条 件 即 可 。 漏 洞 的 发 现 过 程 漏 洞 的 发 现 过 程 使 用 使 用 Q L 查 找 漏 洞 查 找 漏 洞 K e v i n 是 在 分 析 数 据 包 管 理 程 序 缓 冲 区 溢 出 漏 洞 时 发 现 的 该 漏 洞 。 漏 洞 是 由 对 于 m b u f _ c o p y d a t a 的 调 用 （ 包 含 用 户 控 制 的 大 小 参 数 ） 引 起 的 ， 因 此 只 要 写 一 个 简 单 的 查 询 脚 本 即 可 发 现 类 似 错 误 ： m _ c o p y d a t a ( n ,   0 ,   i c m p l e n ,   ( c a d d r _ t ) & i c p - > i c m p _ i p ) ; i f   ( M H L E N   >   ( s i z e o f ( s t r u c t   i p )   +   I C M P _ M I N L E N   +   i c m p l e n ) )     m   =   m _ g e t h d r ( M _ D O N T W A I T ,   M T _ H E A D E R ) ;     / *   M A C - O K   * / e l s e     m   =   m _ g e t c l ( M _ D O N T W A I T ,   M T _ D A T A ,   M _ P K T H D R ) ; i c p   =   m t o d ( m ,   s t r u c t   i c m p   * ) ;
这 是 一 个 很 简 单 的 问 题 跟 踪 方 法 ， 它 的 查 找 范 围 涵 盖 m m t o d 到 C o p y D a t a 函 数 的 参 数 大 小 的 数 据 流 。 m m t o d 函 数 返 回 一 个 m b u f 的 数 据 指 针 ， 它 很 可 能 会 返 回 不 受 信 任 的 数 据 ， 所 以 m t o d 宏 指 令 是 根 源 所 在 。 而 m _ m t o d 这 只 是 X N U 内 核 中 不 受 信 任 数 据 的 众 多 来 源 之 一 。 使 用 上 述 方 法 进 行 查 询 后 返 回 9 个 结 果 ， 其 中 第 一 个 是 漏 洞 i c m p _ e r r o r ， 其 他 8 个 结 果 误 报 的 可 能 性 较 大 。 在 在 X N U 上 尝 试 上 尝 试 Q L 与 大 多 数 其 他 开 源 项 目 不 同 ， X N U 无 法 通 过 查 询 L G T M 获 得 有 用 的 信 息 。 因 为 L G T M 使 用 L i n u x 流 程 构 建 项 目 ， 但 X N U 只 能 在 苹 果 电 脑 上 构 建 。 即 使 在 苹 果 电 脑 上 ， 构 建 X N U 也 非 常 不 容 易 。 K e v i n 参 考 了 J e r e m y   A n d r u s 的 博 客 文 章 ， 才 得 以 为 三 个 最 新 发 布 的 X N U 版 本 手 动 构 建 了 快 照 （ 下 载 快 照 1 0 . 1 3 . 4 ，   1 0 . 1 3 . 5 ， 1 0 . 1 3 . 6 ） 。 由 于 苹 果 尚 未 发 布 1 0 . 1 4 （ M o j a v e /   i O S 的 1 2 ） 的 源 代 码 ， 因 此 无 法 创 建 Q L 快 照 来 运 行 针 对 性 的 检 查 。 要 在 这 些 Q L 快 照 上 运 行 查 询 脚 本 ， 需 要 下 载 Q L   f o r   E c l i p s e ， 点 击   此 处 获 得 有 关 如 何 使 用 Q L   f o r   E c l i p s e 的 说 明 。 漏 洞 验 证 视 频 漏 洞 验 证 视 频 为 了 让 苹 果 用 户 有 充 分 的 时 间 升 级 ， K e v i n 不 会 立 即 放 出 P o C 代 码 ， 而 是 制 作 了 一 个 简 短 的 视 频 来 验 证 漏 洞 。 * *   *   @ n a m e   m b u f   c o p y d a t a   w i t h   t a i n t e d   s i z e   *   @ d e s c r i p t i o n   C a l l i n g   m _ c o p y d a t a   w i t h   a n   u n t r u s t e d   s i z e   a r g u m e n t   *                             c o u l d   c a u s e   a   b u f f e r   o v e r f l o w .   *   @ k i n d   p a t h - p r o b l e m   *   @ p r o b l e m . s e v e r i t y   w a r n i n g   *   @ i d   a p p l e - x n u / c p p / m b u f - c o p y d a t a - w i t h - t a i n t e d - s i z e   * / i m p o r t   c p p i m p o r t   s e m m l e . c o d e . c p p . d a t a f l o w . T a i n t T r a c k i n g i m p o r t   D a t a F l o w : : P a t h G r a p h c l a s s   C o n f i g   e x t e n d s   T a i n t T r a c k i n g : : C o n f i g u r a t i o n   {     C o n f i g ( )   {   t h i s   =   " t c p h d r _ f l o w "   }     o v e r r i d e   p r e d i c a t e   i s S o u r c e ( D a t a F l o w : : N o d e   s o u r c e )   {         s o u r c e . a s E x p r ( ) . ( F u n c t i o n C a l l ) . g e t T a r g e t ( ) . g e t N a m e ( )   =   " m _ m t o d "     }     o v e r r i d e   p r e d i c a t e   i s S i n k ( D a t a F l o w : : N o d e   s i n k )   {         e x i s t s   ( F u n c t i o n C a l l   c a l l         |   c a l l . g e t A r g u m e n t ( 2 )   =   s i n k . a s E x p r ( )   a n d             c a l l . g e t T a r g e t ( ) . g e t N a m e ( ) . m a t c h e s ( " % c o p y d a t a " ) )     } } f r o m   C o n f i g   c f g ,   D a t a F l o w : : P a t h N o d e   s o u r c e ,   D a t a F l o w : : P a t h N o d e   s i n k w h e r e   c f g . h a s F l o w P a t h ( s o u r c e ,   s i n k ) s e l e c t   s i n k ,   s o u r c e ,   s i n k ,   " m _ c o p y d a t a   w i t h   t a i n t e d   s i z e . "
* 参 考 来 源 ： 参 考 来 源 ： l g t m ， ， F r e d d y 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理