Phân tích toàn diện về CVE-2024-38063: Mối đe dọa nghiêm trọng trong ngăn xếp TCP/IP của Windows

CVE-2024-38063 là lỗ hổng nghiêm trọng của ngăn xếp TCP/IP Windows với điểm CVSS là 9,8, ảnh hưởng đến quá trình xử lý các gói tin IPv6. Kẻ tấn công từ xa có thể khai thác lỗ hổng này bằng cách sử dụng tràn số nguyên khi xử lý tiêu đề mở rộng IPv6 để thực thi mã độc hại hoặc gây ra DoS (Từ chối dịch vụ).

Vì IPv6 được bật theo mặc định trên hầu hết các hệ thống hiện đại, nên lỗi zero-click này gây ra rủi ro đáng kể. Do đó, tất cả các phiên bản chưa vá của Windows 10, Windows 11 và Windows Server Các phiên bản 2008, 2012, 2016, 2019 và 2022 bật IPv6 đều dễ bị ảnh hưởng bởi lỗ hổng CVE này.

Ngăn xếp TCP/IP của Windows là một thành phần nền tảng của hệ điều hành chịu trách nhiệm cho giao tiếp mạng thông qua bộ Giao thức điều khiển truyền/Giao thức Internet (TCP/IP). Nó xử lý tất cả các tương tác mạng, tạo điều kiện thuận lợi cho giao tiếp giữa các thiết bị trên mạng cục bộ và toàn cầu.

IPv6 được phát triển để giải quyết những hạn chế của IPv4. Nó giới thiệu nhiều cải tiến khác nhau, chẳng hạn như tính mô-đun và tính linh hoạt thông qua các tiêu đề mở rộng. Các tiêu đề, được định vị giữa tiêu đề IPv6 và tải trọng, hỗ trợ dữ liệu tùy chọn và các tính năng nâng cao.

Các tiêu đề mở rộng IPv6 chính bao gồm:

• Tùy chọn Hop-by-Hop (Tiêu đề tiếp theo = 0) 
• Tiêu đề định tuyến (Tiêu đề tiếp theo = 43) 
• Tiêu đề phân đoạn (Tiêu đề tiếp theo = 44) 
• Tiêu đề Tùy chọn đích (Tiêu đề tiếp theo = 60) 
• Tiêu đề xác thực (AH) (Tiêu đề tiếp theo = 51) 
• Đóng gói tải trọng bảo mật (ESP) (Tiêu đề tiếp theo = 50) 

Mỗi tiêu đề mở rộng trỏ đến tiêu đề tiếp theo thông qua trường Tiêu đề tiếp theo, tạo ra một chuỗi tuần tự. Tính mô-đun này làm tăng tính phức tạp cho quy trình xử lý gói tin và các vectơ khai thác tiềm năng.

Tràn số nguyên xảy ra khi phép tính tạo ra giá trị nhỏ hơn giá trị biểu diễn tối thiểu cho một kiểu dữ liệu. Ví dụ, trừ một giá trị lớn hơn từ một giá trị nhỏ hơn vào một số nguyên không dấu có thể khiến kết quả trở thành một giá trị dương rất lớn.

Tràn số nguyên xảy ra khi giá trị vượt quá giới hạn tối đa của kiểu dữ liệu và "tràn" trở lại giá trị biểu diễn tối thiểu (ví dụ: 0 trong phạm vi 0-10). Cả hai trường hợp đều xảy ra do xử lý không đúng các điều kiện biên trong các phép toán số học, dẫn đến lỗ hổng nghiêm trọng trong hệ thống phần mềm.

Sau khi nhận được một gói tin IPv6, Windows đầu tiên phân tích cú pháp tiêu đề IPv6. Sau đó, hàm IppReceiveHeaderBatch kiểm tra giá trị của trường Tiêu đề tiếp theo để chọn trình xử lý thích hợp cho các tiêu đề tiếp theo. Đối với mỗi tiêu đề mở rộng trong chuỗi, IppReceiveHeaderBatch gọi trình tự tương ứng để xử lý tiêu đề cụ thể đó.

Bản vá của Microsoft để giải quyết lỗ hổng CVE-2024-38063 đã được nhà nghiên cứu bảo mật Marcus Hutchins kiểm tra kỹ lưỡng. Blog kỹ thuật của ông cung cấp thông tin chi tiết về nguyên nhân gốc rễ của lỗ hổng này. Dựa trên những phát hiện của mình, đồng nghiệp của chúng tôi đã khám phá thêm vấn đề này để hiểu rõ hơn về khai thác.

Tràn số nguyên trong xử lý phân đoạn

Bằng cách đặt trường Next Header thành 44, biểu thị Fragment Header, một gói tin được xử lý bởi các quy trình phân mảnh hoặc lắp ráp lại IPv6. Khi gói tin đến trình phân tích cú pháp phân mảnh, Ipv6pReceiveFragment(), nó chỉ định rằng: 

• Kích thước gói tin là 0. 
• Tiêu đề phân đoạn cho biết vẫn còn dữ liệu bổ sung cần được xử lý. 

Trong hàm Ipv6pReceiveFragment(), kích thước phân bổ cho fragment_size được tính bằng cách trừ 0x30 (độ dài tiêu đề gói) khỏi kích thước gói mà không cần bất kỳ xác thực nào. Nếu kích thước gói bằng không, phép trừ này sẽ tràn, dẫn đến giá trị 16 bit lớn (khoảng 0xFFD0 hoặc 65488), khiến trình phân tích xử lý bộ nhớ quá mức bên ngoài ranh giới hợp lệ của gói và dẫn đến hỏng bộ nhớ. 

Từ Underflow đến Overflow và Không phù hợp trong Phân bổ

Hàm Ipv6pReassemblyTimeout() chịu trách nhiệm dọn dẹp các đoạn IPv6 chưa hoàn thành sau một khoảng thời gian xác định bằng cách sử dụng phép tính số học 16 bit để xác định kích thước bộ đệm và các hoạt động sao chép. Do tràn dưới ở bước trước, khi packet_length hoặc fragment_size trở thành 0xFFD0, tràn xảy ra trong quá trình phân bổ.  

Kết quả tính toán khiến thanh ghi đặt lại về 0, dẫn đến việc chỉ phân bổ 48 byte bộ nhớ. Tuy nhiên, vì lượng dữ liệu được sao chép (65.488 byte từ reassembly->payload) không tương ứng với bộ nhớ được phân bổ, nên tràn bộ đệm có thể kiểm soát xảy ra trong nhóm hạt nhân. 

Trong nỗ lực tái tạo lỗ hổng CVE-2024-38963, các cộng sự của chúng tôi đã tạo ra một loạt các gói tin bị lỗi được thiết kế để khai thác lỗ hổng. Quy trình họ thực hiện là:

Chèn tiêu đề mở rộng Tùy chọn đích IPv6 (kiểu 60) theo sau tiêu đề IPv6 cơ sở, sau đó nhúng tùy chọn không hợp lệ (ví dụ: tùy chọn kiểu 0x81). 

Thao tác này buộc hạt nhân Windows (tcpip.sys) phải đặt always_send_icmp = true, kích hoạt việc tạo lỗi ICMPv6 thông qua hàm IppSendErrorList().

Việc làm ngập mục tiêu bằng các đợt bùng phát nhanh chóng các gói tin bị lỗi này làm tăng khả năng hạt nhân nhóm nhiều gói tin vào một Net-Buffer List (NBL) duy nhất. Khi hai hoặc nhiều gói tin được nhóm lại, vòng lặp IppSendErrorList() dễ bị tấn công sẽ được kích hoạt, đặt lại siêu dữ liệu DataLength và Offset không đúng cách trong các đoạn tiếp theo (kích thước gói tin hiện bằng 0). 

Sau khi truyền các gói tin bị lỗi, các gói tin IPv6 bị phân mảnh bao gồm tiêu đề mở rộng Fragment được gửi đi. Các phân mảnh này được xử lý bằng cách sử dụng các giá trị DataLength đã bị hỏng. 

Nhân giữ các mảnh trong 60 giây (do Ipv6pReassemblyTimeout quản lý) để cho phép lắp ráp lại gói tin. Trong thời gian chờ này, các giá trị DataLength bị hỏng sẽ kích hoạt tràn số nguyên trong Ipv6pReceiveFragment, dẫn đến kích thước mảnh được tính toán không chính xác (quá lớn).

Nhân phân bổ một bộ đệm heap dựa trên các giá trị tràn dưới. Hai phép tính khác nhau xảy ra trong quá trình lắp ráp lại: một phép tính xác định kích thước phân bổ bộ nhớ (do tràn 16 bit, trở nên quá nhỏ) và phép tính còn lại tính độ dài bản sao bằng cách sử dụng giá trị tràn dưới lớn.

Sự không khớp này dẫn đến việc ghi vượt giới hạn, gây ra lỗi tràn bộ đệm dựa trên heap có thể bị khai thác để kích hoạt Từ chối dịch vụ (DoS) hoặc Thực thi mã từ xa.