원격 코드 실행 공격으로 이어질 수 있는 Linux KSMBD 1-Day 취약점(CVE-2023-52440, CVE-2023-4130) 분석

#define CIFS_KEY_SIZE (40) int ksmbd_decode_ntlmssp_auth_blob(struct authenticate_message *authblob, int blob_len, struct ksmbd_conn *conn, struct ksmbd_session *sess) { // ... // authblob->SessionKey는 공격자가 제어할 수 있다. sess_key_len = le16_to_cpu(authblob->SessionKey.Length); if (blob_len < (u64)sess_key_off + sess_key_len) return -EINVAL; + if (sess_key_len > CIFS_KEY_SIZE) // CIFS_KEY_SIZE = 40 + return -EINVAL; // 40 바이트보다 더 긴 키를 입력 시 연결 해제 // 이하 생략

struct ksmbd_session { // 생략 int state; __u8 *Preauth_HashValue; char sess_key[40]; // 힙 기반 오버플로우 발생 위치 (CIFS_KEY_SIZE = 40) struct hlist_node hlist; // 이하 생략 // sess_key의 범위 40 바이트를 넘어서 메모리를 작성해 오버플로우 };

// 오버플로우 전 char sess_key[40] = { '0x00', '0x00', ..., '0x00' }; void* important_pointer = 0x0123456789abcdef; // 오버플로우 후 (Input 48 Bytes: 'A' * 40 + 0xff * 8) char sess_key[40] = { 'A', 'A', ..., 'A' }; // sess_key 필드에 Input 48 바이트를 복사 void* important_pointer = 0xffffffffffffffff; // 40 바이트 작성 후 남은 8 바이트는 여기에 // 복사되어 의도하지 않은 값이 변경됨

static int smb2_set_ea(struct smb2_ea_info *eabuf, unsigned int buf_len, const struct path *path) // 생략 next = le32_to_cpu(eabuf->NextEntryOffset); if (next == 0 || buf_len < next) break; buf_len -= next; eabuf = (struct smb2_ea_info *)((char *)eabuf + next); // 이 코드는 결함이 존재함 - if (next < (u32)eabuf->EaNameLength + le16_to_cpu(eabuf->EaValueLength)) - break; // 이 코드는 결함이 수정되었음 + if (buf_len < sizeof(struct smb2_ea_info)) { + rc = -EINVAL; + break; + } + + if (buf_len < sizeof(struct smb2_ea_info) + eabuf->EaNameLength + + le16_to_cpu(eabuf->EaValueLength)) { + rc = -EINVAL; + } } while (next != 0); // 이하 생략

struct smb2_ea_info { __le32 NextEntryOffset; __u8 Flags; __u8 EaNameLength; __le16 EaValueLength; char name[1]; // EaNameLength 크기 만큼의 값이 존재할 수 있다 // 정상적인 경우 EaValueLength 크기 만큼의 Value 값이 존재해야만 한다 } __packed;