OG东方厅ADLab：：：VxWorks多个远程缝隙分析
颁布功夫 2019-08-02VxWorks是世界上使用最宽泛的实时操作系统（RTOS），，有超过20亿台设备正在使用，，蕴含工业 、电力 、能源，，航空航天等行业关键基础设施。。
? 缝隙影响版本
URGENT/11缝隙影响自6.5版以来的险些所有VxWorks版本，，不蕴含为认证而设计的产品版本，，例如VxWorks 653和VxWorks Cert Edition。。
? VxWorks6.5~6.9.4
? 使用IPNet网络和谈栈的VxWorks版本
? 解决规划
? 防火墙和IDS产品增长规定，，检测异常流量。。
? 使用最新缝隙扫描工具检测内部受缝隙影响的设备资产。。
? 风河(Wind River)公司已颁布有关版本更新和补丁信息。。
? 罗克韦尔(Rockwell) 、Sonicwall 、施乐(Xerox)等公司已颁布更新包，，请实时更新。。
? 缝隙道理分析
Armis Labs在VxWorks中共发现了11个0day缝隙，，其中6个缝隙为严重缝隙并能够远程执行代码（RCE），，其余5个缝隙为回绝服务，，信息泄露或逻辑缺点缝隙。。具体如下表所示：：：
OG东方厅ADLab拔取了三个比力典型的缝隙CVE-2019-12255 、CVE-2019-12257 、CVE-2019-12258进行分析。。它们涉及到了IPNet和谈栈及DHCP和谈处置实现。。
▲ CVE-2019-12255缝隙分析
CVE-2019-12255缝隙是IPNet和谈栈在处置TCP报文urg标志时的整数溢出缝隙。。在受影响版本的VxWorks TCP和谈栈实现中，，若是一个TCP报文设置了urg标志，，那么该TCP报文的urgent pointer字段会在iptcp_deliver函数中用于变量tcb-> recv.urg_ptr的赋值。。在VxWorks版本6.8版本中，，实现代码如下所示：：：
在尔后socket执行recv（）操作时，，会挪用函数iptcp_usr_get_from_recv_queue，，该函数处置报文段时首先判断当前TCP数据段是否蕴含urgent标志，，若是蕴含该标志，，则查抄是否会将当前TCP窗口中的urgent 数据读取出来（urgent数据不允许通过通例recv读�。。�。。查抄方式如下图所示：：：
其中，，ugent_pointer是在函数iptcp_deliver中赋值的，，len为recv函数参数，，若是通过推算发现读取len长度的数据会读取到urgent data数据，，则重新对len赋值，，以保障urgent 数据不被读取。。下面两张图展示了上述代码的成效。。
若是接管到的TCP段中的urgent_pointer字段设置为0，，则iptcp_usr_get_from_recv_queue通过推算得到修改后的len为-1。。由于len是无符号整数，，即等于0xffffffff。。这导致recv（）挪用中设置的读取长度限度失效，，从而拷贝所有可读取的数据到用户缓冲区，，造成溢出。。
缝隙验证：：：
凭据缝隙道理，，我们编写了该缝隙的POC验证法式，，并在VxWorks6.8版本的系统上进行了验证。。通过直接发送urgent pointer为0的数据包，，造成栈溢出后覆盖函数返回地址，，如下图所示：：：
▲ CVE-2019-12257缝隙分析
此缝隙是VxWorks系统设备内置的ipdhcpc（VxWorks的内置DHCP客户端）在处置DHCP响应数据包时触发的堆溢出缝隙。。当ipdhcpc尝试从DHCP服务器获取IP地址时，，与指标设备位于统一子网中的攻击者能够通过特殊设计的DHCP响应数据包回复，，使得VxWorks系统设备产生堆溢出，，从而能够在VxWorks系统设备上执行肆意代码。。
当通过挪用ipdhcpc_if_eventcb函数对dhcp客户端的handle进行初始化时，，ipdhcpc_if_eventcb函数会挪用ipdhcpc_handle_malloc函数为dhcp客户端的handle分配空间，，在ipdhcpc_handle_malloc函数中，，该函数为handle->info.options分配了巨细为ipdhcpc.max_message_size-264字节的空间。。
当ipdhcpc_daemon的主循环内执行ipcom_recvfrom接管响应数据包时：：：
ipdhcpc_daemon函数接管后数据后，，会挪用ipdhcpc_reply_input函数对接管到的dhcp和谈数据进行处置，，其中handle->priv->in_optlen 的长度基于ipdhcpc.in_pkt_len推算，，handle->priv->in_optlen=ipdhcpc.in_pkt_len-240，，也就是说handle->priv->in_optlen的最大值为ipdhcpc.max_message_size-240。。
而后，，在后续的挪用 ipdhcpc_offer_input（或ipdhcpc_ack_input），，在这两个函数中会执行memcpy操作：：：
在上图中，，handle-> priv-> in_optlen的最大值可所以ipdhcpc.max_message_size - 240，，它大于为handle-> info.options分配的空间，，为ipdhcpc.max_message_size - 264。。在vxwroks中ipdhcpc.max_message_size值默以为576，，攻击者在局域网中通过机关长度为576的恶意dhcp响应数据就能够使得被攻击设备中的vxworks系统产生24字节的堆溢出。。
▲ CVE-2019-12258缝隙分析
Iptcp_input函数会挪用iptcp_process_options()函数处置TCP头的options数据域。。Iptcp_process_options()函数在判断options数据域类型时，，实现代码如下：：：
该switch凭据options数据域的类型进行分发，，这个case分支是设置MSS的，，行80并判断该类型的options数据域长度必须为4，，若是不等于4，，就判断MSS犯法，，直接退出。。返回到iptcp_input函数中，，由于返回值小于0，，就进入if分支，，挪用iptcp_send_reset()函数，，该函数职能是重置并断掉当前TCP衔接。。若是攻击者发送恶意options的TCP数据包，，将导致衔接断开。。此缝隙能够允许攻击者强制重置衔接到受影响的VxWorks设备的任何TCP会话，，造成回绝服务攻击。。
? ABB公司工业自动化产品
? 通用电气工业自动化产品? 艾默生(Emerson)公司工业节制设备
? 日立(HITACHI)公司医疗设备
? 百通(Belden)工业设备
? 德尔格(Dr?ger)公司医疗设备
? 施耐德(Schneider)公司PLC
? 三菱(Mitsubishi)公司工业节制器
? 飞利浦(Philips)公司医疗设备
? 库卡(KUKA)公司工业机械人
? 史陶比尔(St?ubli)公司工业机械人
? 安川(Yaskawa)电机工业机械人
除了以上设备，，还有大量使用VxWorks的设备，，具体列表请参照参考文件链接1和2。。
参考文件：：：
2.https://en.wikipedia.org/wiki/VxWorks#Notable_uses
3.https://armis.com/urgent11/
4.https://rockwellautomation.custhelp.com/app/answers/detail/a_id/1088561
5.https://www.sonicwall.com/support/product-notification/?sol_id=190717234810906
6.https://security.business.xerox.com/en-us/
7.https://www.windriver.com/security/announcements/tcp-ip-network-stack-ipnet-urgent11/
京公网安备11010802024551号