怎么进行CVE-2017-16943-Exim-UAF漏洞分析

本篇文章为大家展示了怎么进行CVE-2017-16943-Exim-UAF漏洞分析，内容简明扼要并且容易理解，绝对能使你眼前一亮，通过这篇文章的详细介绍希望你能有所收获。

0x00 背景介绍

Exim 是剑桥大学开发的一款基于 GPL 协议的开放源代码软件，其主要用于连接互联网 Unix 系统的消息传输代理（MTA）服务器。

2017年11月25日，Exim官方修复了一处use-after-free的漏洞，由台湾安全公司DEVCORE的研究人员Meh发现，CVE编号为：CVE-2017-16943，并公布了一份POC，但是根据我们的分析跟进，该POC必须将配置文件中的dkim开启才能达到控制EIP，造成进程崩溃的效果。

2017年12月11日，Meh在DEVCORE官网公布该漏洞的具体细节和默认配置下的POC。

360 CERT对此进行验证，证明可以造成远程代码执行，影响范围广，危害严重。

0x01 漏洞攻击面影响

1、影响面

根据360CERT全网资产检索平台，截止2017年12月15日检索的结果表明全球有超过一百万台服务器上运行着Exim，全球的影响分布图如下：

2、影响版本

该漏洞影响开启chunk设置的4.88和4.89版本

3、修复版本

360 CERT建议相关用户及时下载官方的修复补丁，关闭chunk设置或者更新到4.90版本。

0x02 漏洞详情

1. 开启dkim配置下控制rip

exim一共管理着三种堆，定义成枚举类型的全局变量：

POOL_MAIN:表示主要的分配的堆块，可以被释放，消息的处理会在该堆池中分配。

POOL_PERM:表示分配的内存是永久的，直到进程结束才会被释放，保存一些需要共享的信息,例如配置信息，host信息，在使用这块堆池分配前会将store_pool改为POOL_PERM，再调用store_get()。

POOL_SEARCH:保存搜索的数据，在search_tidyup、search_open、internal_search_find函数中被使用。

Exim会循环读取消息，并动态分配内存，申请内存的函数包括：expand_string()、store_get()、string_xxx()，store_get_perm()会使用perm pool。

将配置文件/usr/exim/configure中的"control =dkim_disable_verify"注释，可以触发进程崩溃，进而控制rip，分析原因如下：

在receive_msg函数中会判断是否开启dkim，如果开启就会进入dkim_exim_verify_init函数：

dkim_exim_verify_init函数里在perm pool中申请内存：

使得在堆中分配一块内存，同时不改变current_block[0]中的值，后续对消息处理时会在main pool中分配堆块，分配一块0x2010大小的堆块，释放后，由于之前perm pool分配的堆块，使得释放的堆块不和top chunk合并，变成一个unsorted bin，此时fd和bk指向main arena区域。再进一次store extend后，通过store_get会获得指向main arena的指针，之后memcpy对main arena进行写操作，后续的free操作会造成崩溃，RIP会变成填充的数据。

具体的细节如下图：

2. 默认配置下控制rip

在devcore公司公布具体细节后，我们对默认配置下如何控制rip进行了分析。其实原理和开启dkim配置类似，需要在top_chunk前分配一块在使用的堆块，防止后面释放的堆块和top_chunk合并，作者的poc是利用DATA来发送一个足够大的数据来扩展堆块，循环多次后，期间释放了之前的堆块，变成了一个大的unsorted bin块供后续分配。此时top_chunk之前就有了正在使用的堆块，再利用BDAT命令达到控制rip的目的。

具体控制rip的流程如下：

0x03 漏洞利用验证

我们根据meh的poc和思路编写了exp，通过控制rip跳转到fflush(stdout)，并覆盖_IO_FILE结构覆盖成攻击代码，将_IO_jump_t 虚表结构体中的(_IO_sync_t, __sync)覆盖成system函数地址，来执行攻击代码。

Exp攻击效果图：

0x04 官方补丁

官方补丁判断要释放的堆块是否为最后一个堆块，如果不是的话，就不能释放，这样就达不到UAF的条件，无法触发漏洞。

上述内容就是怎么进行CVE-2017-16943-Exim-UAF漏洞分析，你们学到知识或技能了吗？如果还想学到更多技能或者丰富自己的知识储备，欢迎关注行业资讯频道。