cURL MQTT模块中的双重释放漏洞分析

漏洞概述

在cURL库的MQTT处理模块中，mqtt_doing()函数（位于lib/mqtt.c）在特定条件下会导致双重释放漏洞。触发条件包括：

1. mqtt_send()无法一次性发送完整缓冲区
2. 后续对mqtt_send()的调用失败

漏洞代码分析

问题代码段

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

static CURLcode mqtt_doing(struct Curl_easy *data, bool *done)
{
    // ...
    if(mq->nsend) {
        /* send the remainder of an outgoing packet */
        char *ptr = mq->sendleftovers;
        result = mqtt_send(data, mq->sendleftovers, mq->nsend);
        free(ptr);  // 问题行：释放指针但未置空
        if(result)
            return result;
    }
    // ...
}

相关函数代码

mqtt_send()函数：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

static CURLcode mqtt_send(struct Curl_easy *data,
                          char *buf, size_t len)
{
    CURLcode result = CURLE_OK;
    struct MQTT *mq = data->req.p.mqtt;
    size_t n;
    result = Curl_xfer_send(data, buf, len, FALSE, &n);
    if(result)
        return result;
    // ...
}

mqtt_done()函数：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

static CURLcode mqtt_done(struct Curl_easy *data,
                          CURLcode status, bool premature)
{
    struct MQTT *mq = data->req.p.mqtt;
    (void)status;
    (void)premature;
    Curl_safefree(mq->sendleftovers);  // 再次释放同一指针
    Curl_dyn_free(&mq->recvbuf);
    return CURLE_OK;
}

漏洞验证方法

调试步骤

1. 在VS2022中构建cURL
2. 设置断点：
   • mqtt_send()第125行
   • mqtt_doing()第754行
   • mqtt_done()第735行
3. 设置curl为默认项目
4. 设置命令行参数：-v mqtt://test.mosquitto.org:1883/test
5. 运行curl（F5）
6. 模拟部分传输：在调试器中修改blen为2（初始值应为26）
7. 观察mq->sendleftovers指针分配并记录其值
8. 模拟发送错误：跳过Curl_xfer_send()调用并设置result == CURLE_SEND_ERROR
9. 观察mqtt_doing()第755行释放指针但未置空
10. 观察mqtt_done()第735行再次释放同一指针

安全影响分析

潜在风险

• 内存破坏：双重释放可能导致内存损坏，引发不可预测行为和崩溃
• 任意代码执行：攻击者可能通过操纵内存布局来覆盖函数指针等
• 拒绝服务：可能导致curl进程崩溃，造成服务不可用

利用条件

需要满足以下条件才能利用此漏洞：

1. 恶意MQTT服务器能够控制传输缓冲区可用性
2. 精确的时间同步，使双重释放在同一进程内释放合适的对象
3. 第一次mqtt_send()调用只能发送部分请求缓冲区
4. 第二次mqtt_send()调用必须失败

官方响应与修复

开发团队评论

• jimfuller2024：确认这是cURL MQTT处理中的bug，需要团队讨论安全影响
• icing：在某些平台的malloc实现中，这可能成为进一步利用的垫脚石
• bagder：认为利用条件极其苛刻，难以构成实际安全威胁

修复方案

提供了两个补丁版本：

1. 0001-mqtt-convert-sendleftovers-to-dynbuf.patch
2. v2-0001-mqtt-convert-sendleftovers-to-dynbuf.patch（改进版本）

最终修复通过GitHub PR #16823实现，将sendleftovers转换为动态缓冲区处理。

漏洞状态

• 报告时间：2025年3月18日
• 报告者：tdp3kel9g
• 严重程度：无（0.0）
• CVE ID：无
• 状态：已披露（2025年6月30日）
• 分类：信息性（Informative）

技术讨论

报告者与开发团队就漏洞的可利用性进行了深入讨论，涉及：

• Windows非阻塞socket特性
• 多线程环境中的竞争条件风险
• 现实世界中的利用可能性评估
• 与其他已知双重释放CVE的对比分析

尽管存在理论上的安全风险，但开发团队最终认定该漏洞在实际环境中难以被利用，因此将其分类为信息性而非安全漏洞。