PPPD栈缓冲区溢出漏洞(CVE-2020-8597)分析与复现指南

漏洞概述

CVE-2020-8597是pppd(Point-to-Point Protocol daemon)中的一个栈缓冲区溢出漏洞，影响版本为ppp 2.4.2至2.4.8。该漏洞存在于EAP(Extensible Authentication Protocol)响应处理过程中，由于对用户名长度验证不足，导致攻击者可能通过构造超长用户名触发栈溢出，进而可能实现远程代码执行。

漏洞背景

pppd是一个通过串行接口连接的点对点协议(PPP)守护进程，广泛用于建立网络连接。在EAP认证过程中，当处理MD5-Challenge响应时，存在栈缓冲区溢出漏洞。

受影响的版本

• ppp 2.4.2
• ppp 2.4.3
• ppp 2.4.4
• ppp 2.4.5
• ppp 2.4.6
• ppp 2.4.7
• ppp 2.4.8

漏洞复现环境准备

所需设备

• 两台Ubuntu虚拟机(推荐使用VirtualBox)
• 启用串口功能

漏洞版本获取与编译

在两台虚拟机上执行以下操作：

git clone https://github.com/paulusmack/ppp.git
cd ppp
git checkout ppp-2.4.8
./configure
make
make install

服务端配置

1. 配置chap-secrets文件：

sudo nano /etc/ppp/chap-secrets

添加内容：

admin * password *

2. 启动pppd服务端：

pppd /dev/ttyS0 9600 auth local lock defaultroute debug nodetach 172.16.1.1:172.16.1.2 ms-dns 8.8.8.8 require-eap

客户端配置

启动pppd客户端：

pppd noauth local lock defaultroute debug nodetach /dev/ttyS0 9600 user aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaabbbbb password notpassword

漏洞分析

关键代码分析

漏洞存在于eap_response函数中对用户名的处理过程中。服务端接收用户名时，vallen是已处理的长度，len是接收的总长度，rhostname是一个256字节的栈缓冲区。

问题代码：

if (vallen >= len + sizeof (rhostname)) {
    dbglog("EAP: trimming really long peer name down");
    BCOPY(inp + vallen, rhostname, sizeof (rhostname) - 1);
    rhostname[sizeof (rhostname) - 1] = '\0';
} else {
    BCOPY(inp + vallen, rhostname, len - vallen);
    rhostname[len - vallen] = '\0';
}

漏洞原理

1. 客户端在eap_chap_response函数中将密码hash、用户名和用户名长度一起发送到服务端
2. 用户名保存在一个256字节的栈变量中
3. 服务端接收时，rhostname缓冲区大小为256字节
4. 条件判断if (vallen >= len + sizeof (rhostname))存在逻辑错误，导致长度验证不足
5. 当发送超过256字节的用户名时，会发生栈缓冲区溢出

漏洞触发方法

有两种方法可以触发服务端崩溃：

1. 直接修改源代码：修改eap_chap_response函数中的用户名内容，绕过客户端限制
2. 网络数据包修改：
   • 使用Wireshark抓包
   • 修改数据包中的用户名内容
   • 编写脚本发送修改后的数据包到服务端

修复建议

1. 升级到ppp 2.4.9或更高版本
2. 如果无法立即升级，可以应用官方补丁
3. 在网络边界限制对pppd服务的访问

参考链接

1. PPPD官方GitHub仓库
2. CVE-2020-8597漏洞详情
3. 先知社区原始分析文章

总结

CVE-2020-8597是一个典型的栈缓冲区溢出漏洞，由于长度验证不足导致。攻击者可能利用此漏洞实现远程代码执行，威胁系统安全。建议所有使用受影响版本的用户尽快升级或应用补丁。