对 libssh2 整数溢出漏洞 (CVE-2019-17498)的分析

0x01 漏洞挖掘

在2019年3月18日，Canonical Ltd.的Chris Coulson披露了libssh2中的九个漏洞（CVE-2019-3855至CVE-2019-3863）。这些漏洞已在libssh2 v1.8.1中修复。当时，我的同事Pavel Avgustinov注意到，修复漏洞的报告在LGTM上引入了多个新告警。这些告警是由于像下面的代码：

 if((p_len = _libssh2_get_c_string(&buf, &p)) < 0)

问题出现在_libssh2_get_c_string返回 -1是一个error code，但是p_len没有符号，因此错误条件将被忽略。libssh2团队已经在后面的的报告中修复了这些问题，奇热但是它促使我们仔细查看代码以查看其包含明显错误的漏洞。我们很快发现了这个用于边界检查的函数：

 int _libssh2_check_length(struct string_buf *buf, size_t len)
 {
     return ((int)(buf->dataptr - buf->data) <= (int)(buf->len - len)) ? 1 : 0;
 }

此函数的问题在于强制转换int可能会溢出。左侧的强制转换是安全的，因为的字段buf是受信任的值，但是右侧的强制转换是不安全的，因为的值len是不受信任的。创建漏洞利用exp并非难事，该漏洞利用使值len大于绕过此溢出检查buf->len + 0x80000000。可以在GitHub上找到P