CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现

admin 2022年9月14日16:35:37安全文章评论30 views2947字阅读9分49秒阅读模式


一、漏洞信息


9月6日,网络设备制造商ZyXel发布安全通告,称ZyXel NAS产品中的某个特定二进制程序中存在一个格式化字符串漏洞,可导致攻击者通过精心构造的UDP数据包实现越权远程代码执行。该漏洞会影响其产品NAS326、NAS540和NAS542。漏洞被追踪为CVE-2022-34747,CVSS评分为9.8。

ZyXel已经以固件更新的形式发布了受影响设备的安全更新。

受影响设备和版本:

设备型号 影响版本 安全版本
NAS326 <= V5.21(AAZF.11)C0 V5.21(AAZF.12)C0
NAS540 <= V5.21(AATB.8)C0 V5.21(AATB.9)C0
NAS542 <= V5.21(ABAG.8)C0 V5.21(ABAG.9)C0


二、漏洞分析


1. 定位漏洞文件
首先从ZyXel官网下载NAS420设备的固件:

CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现

NAS540_V5.21(AATB.8)C0.zip是受漏洞影响的版本,下文简称8版,NAS540_V5.21(AATB.9)C0.zip是不受漏洞影响的安全版本,下文简称9版。

将9版压缩包解压后,查看Firmware Release Note信息(521AATB9C0.pdf文件),其中有固件更新记录。

CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现

更新记录显示,9版修复了格式化字符串漏洞,并且移除了NAS starter utility功能。

将8版和9版固件分别用binwalk解开,用目录比较工具比较文件变化。以工具Beyond Compare 4为例:

CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现

通过比较,发现9版的更新基本上就是移除了NAS starter utility功能模块nsuagent程序。


2. 定位漏洞点

用IDA pro加载nsuagent程序,因为格式化字符串漏洞是由c语言的printf函数族使用不当触发的,所以从nsuagent程序的导入表中的printf函数族出发,找漏洞点。

CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现

通过逐项查找,发现仅有fprintf函数使用不正确,存在格式化字符串漏洞的可能性。

CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现

进一步分析发现,nsa_fprintf函数对fprintf函数进行了封装,固定了其中的输出文件,其目的是将nsuagent程序的执行日志,记录在/tmp目录下的nsu_progress文件中。nsa_fprintf也是一个可变参数函数,其中s变量作为格式化串,理应不受用户输入控制,但程序中s变量却由参数varg_r1和varg_r2拼接而成,一旦nsa_fprintf的可变参数可控,则可触发格式化字符串漏洞。

至此,漏洞点确定。


三、漏洞复现


1. 调试环境搭建

因为手头没有ZyXel NAS设备,所以只能用QEMU模拟器仿真。

首先尝试用firmware-analysis-toolkit进行全系统仿真,没成功!

尝试用qemu-user进行仿真,因为nsuagent程序是arm指令集32位小端程序,所以使用qemu-arm。

仿真过程中需要用到很多so库,在8版固件解开的目录中一一找到,并建立好软链接。还需要两个pem文件,把它们找到,放在相应目录下。

CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现

直接执行命令为:qemu-arm -L ./ nsuagent

调试执行命令为:qemu-arm -g 12345 -L ./ nsuagent

-L用于指定加载库的根目录,有点类似chroot命令。

调试的话可以用gdb,也可以用IDA pro。


2. 漏洞利用

通过前面有关漏洞点的介绍可知,只要username和password中含有%p %x %n之类的字符串,就可以触发nsa_printf函数中的格式化字符串漏洞。利用过程主要是构造Udp数据包,在username和password字段构造格式化字符串。

先以一个简单例子讲解格式化字符串的利用原理

%0x74c%9$n

打印0x74个字节,将打印的字节数目作为值写入距离格式化字符串偏移为9的栈上指针指向的区域。

利用格式化字符串进行任意地址写,要求栈上存在指向这些地址的指针,笔者这里构造username字段时,先填入所有需要写入的地址,再在后面加上计算好偏移的格式化字符串。

因为程序开启了NX保护,所以不能通过写入shellcode然后跳转shellcode来进行利用。为了绕过NX,笔者这里采用构造ROP链的方式来执行代码。使用ROPgadget找到下面两条指令,后续通过这两条指令,将参数传入R0寄存器然后调用system函数

0x0001292c : pop {r4, pc}0x00012b10 : mov r0, r4 ; pop {r4, pc}

具体需要实现的栈布局如下:

---------------------------------------0x0001292c : pop {r4, pc}                  <-------retaddr---------------------------------------.......---------------------------------------cmdstr                                     <------ SP---------------------------------------0x00012b10 : mov r0, r4 ; pop {r4, pc}---------------------------------------junk---------------------------------------system---------------------------------------junk---------------------------------------retaddr---------------------------------------

要实现上面的栈布局,需要将函数返回地址改成0x0001292c,然后将此时的栈顶向下的4块区域写入相应的地址。

又因为在进入漏洞函数之前,username和password字段都是从缓冲区中的数据包中提取的,而提取的过程对这两个字段的长度进行了限制,所以无法通过一次利用格式化字符串漏洞完成上面的栈布局。这里笔者采取了迂回的方式,先通过一次利用,将函数返回地址改成提取完username之后的指令地址(在漏洞函数之前),同时用完整的字符串地址,覆盖存放截断后的username字符串的地址,这样就会再一次进入漏洞函数,此时的字符串没有经过截断。最终成功执行whoami命令。

CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现


存在的问题


以上利用过程都是建立在栈地址可知的情况下,因为漏洞程序只接收udp请求,回的包都是广播包,所以没办法得到回显,实际不好利用。除此之外,上面构造的ROP链执行了三次pop {r4,pc},这样会造成回到真正的返回地址时,栈空间不平衡,从而导致程序崩溃。这里笔者没有找到合适的指令,让ROP链运行完后栈顶也能得到恢复。综上所述,本文研究的利用方式,只能在已知栈地址的情况下,发送一个精心构造UDP数据包实现,利用格式化字符串漏洞控制程序执行恶意命令,命令执行完后,程序大概率因为栈不平衡而崩溃,所以是一次性利用。


由于传播、利用此文档提供的信息而造成任何直接或间接的后果及损害,均由使用本人负责,且听安全团队及文章作者不为此承担任何责任。



点关注,不迷路!

CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现


原文始发于微信公众号(且听安全):CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年9月14日16:35:37
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  CVE-2022-34747 ZyXel NAS设备格式化字符串漏洞分析与复现 http://cn-sec.com/archives/1294325.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: