漏洞报告 #3452725 - cURL测试套件中因全局句柄清理不当导致的Use-After-Free漏洞

1
2
3
4
5

test_cleanup:
  /* undocumented cleanup sequence - type UA */
  curl_easy_cleanup(t1555_curl);  /* LINE 83: FREES THE HANDLE */
  curl_global_cleanup();
  return res;  /* BUG: t1555_curl IS NOT SET TO NULL AFTER cleanup! */

1

static CURL *t1555_curl;  // 声明为静态全局变量

1
2
3
4
5
6

static int progressCallback(...)
{
  /* 使用t1555_curl，它指向攻击者控制的内存! */
  curl_easy_recv(t1555_curl, buffer, 256, &n);  /* 从受控内存读取 */
  curl_easy_send(t1555_curl, buffer, n, &n);    /* 写入受控内存 */
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

清理前:
┌─────────────┐     ┌─────────────────────┐
│ t1555_curl  │────▶│ CURL Handle Object  │
│ 0x7ffdf000  │     │ at heap 0x7ffdf000  │
└─────────────┘     └─────────────────────┘

curl_easy_cleanup(t1555_curl)后:
┌─────────────┐     ┌─────────────────────┐
│ t1555_curl  │────▶│ 已释放的内存        │  ← 危险!
│ 0x7ffdf000  │     │ at heap 0x7ffdf000  │
└─────────────┘     └─────────────────────┘
                     (内存已返回给堆分配器)

应该发生的情况:
┌─────────────┐     ┌─────────────────────┐
│ t1555_curl  │────▶│ NULL                │  ← 安全!
│ 0x0         │     │                     │
└─────────────┘     └─────────────────────┘

1
2
3
4

/* 如果test_lib1555()被调用两次: */
test_lib1555("http://example.com");  /* 第一次调用 - 句柄释放但未置空 */
/* ... 攻击者在此处进行堆喷射 ... */
test_lib1555("http://example.com");  /* 第二次调用 - 使用悬垂指针! */

1
2
3
4
5
6
7
8

test_cleanup:
  /* undocumented cleanup sequence - type UA */
  if (t1555_curl) {
      curl_easy_cleanup(t1555_curl);
      t1555_curl = NULL;  /* ← 添加此行以修复漏洞 */
  }
  curl_global_cleanup();
  return res;

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

static CURLcode test_lib1555(const char *URL)
{
  CURLcode res = CURLE_OK;

  global_init(CURL_GLOBAL_ALL);

  easy_init(t1555_curl);  /* 行: 句柄初始化 */

  /* ... 配置 ... */

  res = curl_easy_perform(t1555_curl);

test_cleanup:

  /* undocumented cleanup sequence - type UA */

  curl_easy_cleanup(t1555_curl);  /* 第83行: 释放句柄 */
  t1555_curl = NULL;  /* 关键修复: 释放后置空指针 */
  curl_global_cleanup();

  return res;
}

1
2
3
4
5

# 编译基础PoC
gcc -o pwn pwn.c -lcurl -lpthread -O0 -no-pie -fno-stack-protector -z execstack -z norelro -w -g

# 编译高级PoC  
gcc -o 1337lab 1337lab.c -lcurl -ldl -g -O0 -fno-stack-protector -Wno-discarded-qualifiers -D_GNU_SOURCE

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# 禁用ASLR
sudo sysctl -w kernel.randomize_va_space=0

# 禁用malloc检查
export MALLOC_CHECK_=0

# 调整glibc可调参数以降低保护
export GLIBC_TUNABLES="glibc.malloc.tcache_count=0:glibc.malloc.mmap_threshold=128*1024"

# 禁用核心转储
ulimit -c 0