Windows DHCP Server远程代码执行漏洞分析（CVE-2019-0626）
宣布时间 2019-02-19
漏洞配景
2月12日，微软宣布2月份月度例行宁静通告，修复了多个高危漏洞，其中包罗Windows DHCP Server远程代码执行漏洞CVE-2019-0626。当攻击者向DHCP服务器发送精心设计的数据包并乐成利用后，就可以在DHCP服务中执行任意代码，漏洞影响范围较大。针对此漏洞，东森平台ADLab第一时间对其进行了详细分析。
漏洞影响版本
Windows 7
Windows 8.1
Windows 10
Windows Server 2008
Windows Server 2012
Windows Server 2016
传输的DHCP协议报文需遵循以下格式：
DHCP包罗许多类型的Option，每个Option由Type、Length和Data三个字段组成。
Type取值范围1~255，部门Type类型如下图所示。
DHCP服务在处置Vendor Specific 类型（Type=43）的Option结构存在宁静漏洞。首先看下DHCP服务法式对Option的处置过程， ProcessMessage函数卖力处置收到的DHCP报文，调用ExtractOptions函数处置DHCP的Option字段，传入函数ExtractOptions的参数1（v7）为DHCP报文指针，参数3（*(unsigned int *)(v5 + 16)）对应指针偏移位置+16的数据，即Len字段。
ExtractOption函数如下所示。 v6 = (unsigned __int64)&a1[a3 - 1];指向报文末尾位置；v10=a1+240;指向报文中Option结构。在for循环中处置差异类型的Option结构，当type=43（Vendor Specific Information），传入指针v10和指针v6作为参数，调用ParseVendorSpecific函数进行处置。
结构一个DHCP Discovery报文，POC如下所示，POC包罗两个vendor_specific 类型的Option结构。vendor_specific1是合法的Option结构，Length取值0x0a即是Data的实际长度（0x0a），vendor_specific2是不合法的Option结构， Length取值0x0f大于Data的实际长度（0x0a）。
DHCP服务器收到Discovery请求报文，对数据包进行处置。首先执行ExtractOptions处置Options，当处置vendor_specific类型的Option时，进入到ParseVendorSpecific进行处置。POC中结构一个合法的vendor_specific1，目的是为了绕过84~85行的校验代码，使法式顺利执行到ParseVendorSpecific函数。
补丁比对
补丁后的版本添加了对Length字段的有效性判断。
2月12日，微软宣布2月份月度例行宁静通告，修复了多个高危漏洞，其中包罗Windows DHCP Server远程代码执行漏洞CVE-2019-0626。当攻击者向DHCP服务器发送精心设计的数据包并乐成利用后，就可以在DHCP服务中执行任意代码，漏洞影响范围较大。针对此漏洞，东森平台ADLab第一时间对其进行了详细分析。
漏洞影响版本
Windows 7
Windows 8.1
Windows 10
Windows Server 2008
Windows Server 2012
Windows Server 2016
Windows Server 2019
协议简介
传输的DHCP协议报文需遵循以下格式：
DHCP包罗许多类型的Option，每个Option由Type、Length和Data三个字段组成。
Type取值范围1~255，部门Type类型如下图所示。
DHCP服务在处置Vendor Specific 类型（Type=43）的Option结构存在宁静漏洞。首先看下DHCP服务法式对Option的处置过程， ProcessMessage函数卖力处置收到的DHCP报文，调用ExtractOptions函数处置DHCP的Option字段，传入函数ExtractOptions的参数1（v7）为DHCP报文指针，参数3（*(unsigned int *)(v5 + 16)）对应指针偏移位置+16的数据，即Len字段。
ExtractOption函数如下所示。 v6 = (unsigned __int64)&a1[a3 - 1];指向报文末尾位置；v10=a1+240;指向报文中Option结构。在for循环中处置差异类型的Option结构，当type=43（Vendor Specific Information），传入指针v10和指针v6作为参数，调用ParseVendorSpecific函数进行处置。
ParseVendorSpecific函数内部调用UncodeOption函数。UncodeOption函数参数a1指向option起始位置，a2指向报文的末尾位置。UncodeOption函数存在宁静漏洞，下面结合POC和补丁比对进行分析。
结构一个DHCP Discovery报文，POC如下所示，POC包罗两个vendor_specific 类型的Option结构。vendor_specific1是合法的Option结构，Length取值0x0a即是Data的实际长度（0x0a），vendor_specific2是不合法的Option结构， Length取值0x0f大于Data的实际长度（0x0a）。
DHCP服务器收到Discovery请求报文，对数据包进行处置。首先执行ExtractOptions处置Options，当处置vendor_specific类型的Option时，进入到ParseVendorSpecific进行处置。POC中结构一个合法的vendor_specific1，目的是为了绕过84~85行的校验代码，使法式顺利执行到ParseVendorSpecific函数。
ParseVendorSpecific调用UncodeOption函数，具体如下：
48行调用HeapAlloc分配堆内存，分配的内存巨细v13=a。
补丁比对
补丁后的版本添加了对Length字段的有效性判断。
京公网安备11010802024551号