RCEへの近道

Transcript

3. X: ＠kawakatz 自己紹介 GMOサイバーセキュリティ byイエラエ株式会社 オフェンシブセキュリティ部ペネトレーションテスト課 川田 柾浩 • 業務領域 （5年目） ツール・マルウェア開発 ペネトレーションテスト・レッドチーム その他調査・研究 • 資格 • CVE CVE-2023-27966: macOS App Sandbox escape (>$10,000, Apple Inc.) CVE-2024-XXXXX: Remotely accessible TightVNC passwords (GlavSoft LLC) CVE-2024-XXXXX: RCE * 2 + LPE CVE-2024-XXXXX: RCE * 3 (Vuln * 5)
4. 1. 自己紹介 2. メインテーマ 3. 調査目的 4. 脆弱性概要 5. TightVNCとは 6. 解析対象ソフトウェアの選定 7. 名前付きパイプに関する処理の解析 8. PoCの実装 9. TightVNC側の対策 10. CVEの発行 11. タイムライン 目次
6. ü 解析対象ソフトウェアの選定基準 ü 解析対象箇所の特定に至るまで メインテーマ 対象 選定 入力 受取 入力 解析 後続 処理
8. RCE（かLPE）に至る脆弱性の検出を目的としたソフトウェア解析の練習 調査目的
10. TightVNCに対してリモートからパスワードを読み込み可能な脆弱性 脆弱性概要
12. TightVNC 2.8.81 (2023/05/04) インストーラ: https://www.tightvnc.com/download/2.8.81/tightvnc-2.8.81- gpl-setup-64bit.msi ソースコード: https://www.tightvnc.com/download/2.8.81/tightvnc-2.8.81- src-gpl.zip TightVNCとは
13. 対象 選定 入力 受取 入力 解析 後続 処理
14. オープンポート 名前付きパイプ 解析対象ソフトウェアの選定 プログラムに対する入力の入口 5営業日で脆弱性の 発見から悪用まで
15. オープンポート 名前付きパイプ 解析対象ソフトウェアの選定 プログラムに対する入力の入口 5営業日で脆弱性の 発見から悪用まで
16. 5900/tcp recv(), recvfrom() WSARecv(), WSARecvFrom() send(), sendto() WSASend(), WSASendTo() tvnserver.exe -service オープンポート: TCP/UDP通信の入口 解析対象ソフトウェアの選定
17. オープンポート 名前付きパイプ 解析対象ソフトウェアの選定 プログラムに対する入力の入口 5営業日で脆弱性の 発見から悪用まで
18. \\.\pipe\TightVNC_Service_Control tvnserver.exe -service tvnserver.exe –controlservice -slave ConnectNamedPipe(), ReadFile(), WriteFile() 名前付きパイプ: プロセス間通信の入口 解析対象ソフトウェアの選定
19. ツール # オープンポート - Process Hacker https://processhacker.sourceforge.io/ # 名前付きパイプ - Get-ProcessPipes.ps1 https://gist.github.com/Wra7h/62b42c8a2219ae94d865c1c2f7196e61 解析対象ソフトウェアの選定
20. 0.0.0.0 5800/tcp: tvnserver.exe –service 0.0.0.0 5900/tcp: tvnserver.exe -service 解析対象ソフトウェアの選定
21. \\.\pipe\TVN_log_pipe_public_name: tvnserver.exe -service \\.\pipe\TightVNC_Service_Control: tvnserver.exe –service 解析対象ソフトウェアの選定
22. # tvnserver.exe -service - オープンポート 0.0.0.0 5800/tcp 0.0.0.0 5900/tcp - 名前付きパイプ \\.\pipe\TVN_log_pipe_public_name \\.\pipe\TightVNC_Service_Control 解析対象ソフトウェアの選定
23. # tvnserver.exe -service - オープンポート 0.0.0.0 5800/tcp 0.0.0.0 5900/tcp - 名前付きパイプ \\.\pipe\TVN_log_pipe_public_name \\.\pipe\TightVNC_Service_Control 解析対象ソフトウェアの選定
24. \\.\pipe\TightVNC_Service_Control 解析対象ソフトウェアの選定
25. \\.\pipe\TightVNC_Service_Control tvnserver-app/TvnServer.cpp 解析対象ソフトウェアの選定
26. \\.\pipe\TightVNC_Service_Control tvnserver-app/TvnServer.cpp 解析対象ソフトウェアの選定
27. 対象 選定 入力 受取 入力 解析 後続 処理
28. ツール # 動的解析 - x64dbg https://x64dbg.com/ # 静的解析 - IDA Pro https://hex-rays.com/ida-pro/ - Ghidra https://ghidra-sre.org/ # Windows APIの監視 - Frida https://frida.re/ 名前付きパイプに関する処理の解析
29. ReadFile関数の呼び出し元特定 Modules CPU 名前付きパイプに関する処理の解析
30. ReadFile関数の呼び出し元特定 サンプルコードで対象の名前付きパイプと紐づく呼び出しであることを確認 名前付きパイプに関する処理の解析
31. Fridaを用いたReadFile関数、WriteFile関数の監視 名前付きパイプに関する処理の解析
32. ReadFile関数の引数 名前付きパイプに関する処理の解析
33. ReadFile関数の呼び出し元特定 Execute till return + Step over (Step into) 名前付きパイプに関する処理の解析
34. ReadFile関数の呼び出し元特定 Modules 名前付きパイプに関する処理の解析
35. ReadFile関数の呼び出し元特定 Edit > Segments > Rebase program... 名前付きパイプに関する処理の解析
36. ReadFile関数の呼び出し元特定 Jump > Jump to address... 名前付きパイプに関する処理の解析
37. ReadFile関数の呼び出し元特定 Jump > Jump to address... 名前付きパイプに関する処理の解析
38. 対象 選定 入力 受取 入力 解析 後続 処理
39. ReadFile関数を呼び出している関数の呼び出し元特定 名前付きパイプに関する処理の解析
40. ReadFile関数で受け取った入力値の扱い 名前付きパイプに関する処理の解析
41. ReadFile関数で受け取った入力値の扱い 名前付きパイプに関する処理の解析
42. ReadFile関数で受け取った入力値の扱い 名前付きパイプに関する処理の解析
43. 対象 選定 入力 受取 入力 解析 後続 処理
44. tvnserver-app/ControlClient.cpp > ControlClient::execute() 名前付きパイプに関する処理の解析
45. tvnserver-app/ControlClient.cpp > ControlClient::execute() 名前付きパイプに関する処理の解析
46. tvnserver-app/ControlClient.cpp > ControlClient::execute() 名前付きパイプに関する処理の解析
47. server-config-lib/ServerConfig.cpp > ServerConfig::serialize() 名前付きパイプに関する処理の解析
49. PoCの実装 # 悪用条件 ü SMB（445/tcp）への通信が可能 ü いずれかのユーザとして認証が可能 Active Directory (or Microsoft Entra ID) # 影響 暗号化されたパスワードの読み込み + 復号によってTightVNCに接続可能
50. PoCの実装
51. PoCの実装
52. PoCの実装
53. PoCの実装
54. PoCの実装
55. PoCの実装
57. TightVNC側の対策
58. TightVNC側の対策
60. CVEの発行 開発者と連絡が途絶えてしまって、CVEを発行してもらえなかった場合 （JPCERT様からご教授いただきました🙇） - Report/Request for Non-CNAs https://www.cve.org/ReportRequest/ReportRequestForNonCNAs
61. CVEの発行 - Submit a CVE Request https://cveform.mitre.org/
63. タイムライン 2024/04/20: 脆弱性報告 2024/04/26: 開発者側による脆弱性報告の確認 2024/05/28: TightVNC 2.8.84のリリース 2024/05/28: CVE発行の調整開始 2024/07/12: MITREにCVEの発行申請