欢迎光临
我们一直在努力

TRENDnet 无线摄像头 TV-IP512WN 栈溢出漏洞分析

 

CVE ID: CVE-2020-12763

漏洞描述

TRENDnet(趋势网络) ProView Wireless camera TV-IP512WN 1.0R 1.0.4 版本中的 RTSP 数据包在处理过程存在缓冲区溢出漏洞。攻击者可利用该漏洞执行代码或导致拒绝服务。漏洞发生在 /sbin 目录下的二进制文件 rtspd 中,该文件主要负责处理设备接收到的 RTSP 连接。当文件在解析 RTSP header 的 “Authorization: Basic” 字段时,由于字段内容的长度不确定,程序又没有对拷贝到栈上的内容长度进行检查限制,因此可能会导致缓冲区溢出,更严重的是该漏洞无需登录授权便可以触发。

在探讨技术细节前请注意以下几点:

1、漏洞是在该型号产品最新版本的固件中发现的。
2、漏洞已经上报厂商 TRENDnet。
3、TRENDnet 认为该产品已停产,所以拒绝漏洞验证。

 

漏洞产品

厂商: TRENDnet
影响产品:ProView Wireless N Network Camera TV-IP512WN (Version v1.0R)
固件:FW_TV-IP512P_512WN(1.0.4).zip
SHA-1:B27998BBB4C8503E9314730F504E389B56AD6F6C
产品链接:https://www.trendnet.com/support/support-detail.asp?prod=175_TV-IP512WN

 

产品图片

 

固件详情

 

漏洞分析

需要澄清的一点是,受新冠疫情影响,我很难买到这次分析用的无线摄像头设备,也就无法实际触发该漏洞,所以我是通过静态分析发现的这个漏洞。为方便读者理解,我会把反编译后的代码截图放到文章里,并对大部分函数和变量进行了重命名。

这次漏洞是典型的 CWE-120 栈溢出错误,错误可被利用于远程执行代码(RCE)或拒绝服务(DOS)攻击。溢出发生在 sbin 目录下的二进制文件 rtspd,该文件主要负责处理设备接收到的 RTSP 连接请求。

函数 parse_auth_header(address 0x11a18)解析 Authorization: Basic header 的时候会发生栈溢出,函数被调用时传入两个缓冲区参数,第一个存放 RTSP header,第二个用来存放解析后获得的 header 值,下图为反编译后的函数代码。

图 A:校验头解析函数 parse_auth_header 反汇编代码

我们来试着理解下这个函数:

  1. 1、如上图代码所示,10-17 行是一个循环,从缓冲区第一个字符开始搜索 header 字符串 “Authorization: Basic”,如果找到就断开循环,然后将指针 src_buf_ptr 前移 0x15 个字节(长度刚好指向 header 值的内容)。
    2、调用 strstr 函数查找换行符 “rn”,返回一个 char 指针 newline_ptr。
    3、将前面两个指针相减,获得的差值便是 Authorization: Basic header 值的长度。
    4、函数 memcpy 把 src_buf_ptr 指针指向的 header 值内容拷贝到缓冲区 dest_buf 里面,程序执行到这一步时可能会发生溢出错误,因为程序没有检查 dest_buf 的长度是否足够容纳 header 值的内容,如果内容过长的话就会导致 dest_buf 缓冲区溢出,接下来我会证明这一点。

先来看下传给函数的参数是什么。
将地址为 0x11ae8 的函数重命名为 check_authentication,函数中调用了parse_auth_header 函数,请看下图的反汇编代码。

图 B:check_authentication 函数反汇编代码

可以看到,parse_auth_header 是在第 35 行被调用的,第一个参数来自调用函数check_authentication 的最后一个指针参数 param_4(此处原文作者描述和所给图片有出入,所以稍有修改),第二个参数是一个 char 型指针,指向的缓冲区大小为 64,希望你能明白这里的问题所在:

传入 parse_auth_header 的第二个缓冲区参数大小是固定的(64 个字节),而当函数拷贝数据时又没有校验数据长度是否在缓冲区大小范围内。

发现这个问题并不难,但我们怎么知道函数处理的数据是来自 socket 呢?问得好,先找到调用 check_authentication 的函数,重命名为 is_client_authenticated,下图为反汇编后的函数代码:

图 C:函数 is_client_authenticated 的反汇编代码

check_authentication 函数在第 23 行被调用,根据其返回值,程序会判断下一行的 if 代码块是否执行。if 代码块(24-35 行)除了在控制台输出文件名和函数名,还会将一行拼接有 RTSP/1.0 401 Unauthorized 内容的字符串作为 send 函数的参数,而 send 函数用于向 socket 写入数据,这就证明了之前的一系列函数是在做权限校验工作,如果 Authorization Basic header 内容过长的话,就会触发溢出漏洞。

继续探究,找到所有 is_client_authencticate 函数的调用,这能帮助我们更好地了解程序何时进行权限校验,请看下面的函数调用情况:

图 D

图 E

图 F

图 G

图 H

图 I

如上图代码所示,当触发摄像头的暂停,设置,播放,拆分等功能时,程序就会调用函数 is_client_authencticate,以检查收到的功能请求授权是否合法,返回值为 0 表示校验通过,然后实现功能,否则程序直接返回。

这篇 维基百科 介绍了 RTSP 的协议格式,进一步印证了上面我们看到的图 D – 图 I 中的各个功能。

另外需要注意的一点是,由于这个 bug 是在解析 Authorization header 时触发的,也就意味着无需授权就能够执行 RCE,这在很大程度上加剧了漏洞的严重性。

 

结论

我们看到了数据包解析代码里一个小小的 bug 就能导致缓冲区溢出,也见识了攻击者是怎样绕过权限校验触发漏洞的,虽然还没法写出一个行之有效的 PoC 来证明 RCE ,但是我会在文章第二部分试着搭建 qemu 环境,模拟运行二进制文件,通过创建远程 socket 连接的方式实现 RCE,触发漏洞,然后大功告成!

From 新概念研究中心

赞(0) 打赏
未经允许不得转载:中国宏阔黑客联盟|白帽黑客|网络渗透技术|网站安全|移动安全|通信安全 » TRENDnet 无线摄像头 TV-IP512WN 栈溢出漏洞分析
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏