CODESYS V3未经身份验证的远程堆溢出漏洞分析与复现

时间： 2020年04月14日来源：安天CERT

1 概述

2020年3月25日CODESYS发布CODESYS V3未经身份验证的远程堆溢出漏洞，攻击者利用精心设计的请求可能会导致基于堆的缓冲区溢出。CODESYS软件工具包是一款基于先进的.NET架构和IEC 61131-3国际编程标准的面向工业4.0及物联网应用的软件开发平台。CODESYS软件平台可实现逻辑控制（PLC）、运动控制（Motion Control）及CNC控制、人机界面（HMI）、基于Web Service的网络可视化编程和远程监控、冗余控制(Redundancy)和安全控制（Safety）、项目开发与工程协同管理等多个目标和需求。

安天针对CODESYS的CVE-2020-10245[1]漏洞进行了分析和复现，该漏洞存在于CmpWebServerHandlerV3.dll（文件版本3.5.15.20）库中，源于该dll库未能正确验证由用户提交的发往Web Server URL端点的数据。此漏洞会造成Web 服务器崩溃、拒绝服务或者可能被用于远程代码执行。对此，安天研究人员分析了该漏洞原理并给出相应的防护建议。

2 漏洞情况

该漏洞允许未经身份验证的远程攻击者破坏服务器或远程代码执行。存在漏洞的服务器用于在Web浏览器中显示CODESYS系统可视化屏幕。该漏洞基于堆的缓冲区溢出，是由于名为CmpWebServerHandlerV3.dll的Web服务器库无法正确验证发送到Web服务器URL端点的用户数据而导致。攻击者可以通过发送给CmpWebServerHandlerV3组件的WEB_CLIENT_OPENCONNECTION消息请求非常大的内存分配，来利用这个漏洞，最终导致Web服务器崩溃、拒绝服务或远程执行代码[2]。该漏洞严重程度评分如下表所示：

表格 2 1 CVSS评分[3]

	CVSS v2.0	CVSS v3.1
基本得分	10	9.8
向量	AV：N / AC：L / Au：N / C：C / I：C / A：C	AV：N / AC：L / PR：N / UI：N / S：U / C：H / I：H / A：H
影响得分	10	5.9
可利用性得分	10	3.9
严重等级	高	高

2.1 披露时间

2019年12月02日：发现漏洞

2019年12月11日：CODESYS承认漏洞。

2019年12月11日：CODESYS预计在90天后进行解释。

2020年01月28日：供应商通知他们计划在3月中旬发布补丁。

2020年03月18日：CODESYS通知，由于COVID-19，他们需要将其补丁和咨询推迟几天，计划在三月中旬发布版本3.5.15.40。

2020年03月25日：CODESYS已发布公告和漏洞修复。

2.2 漏洞影响版本

在用于工程控制系统的自动化软件CODESYS的Web服务器中存在一个严重漏洞，此漏洞存在V3.5.15.40之前的所有版本中，所有包含Web服务器(CmpWebServer和CmpWebServerHandler)的CODESYS V3系统运行中都会受到影响，主要包括[4] ：

• CODESYS Control for BeagleBone

• CODESYS Control for emPC-A/iMX6

• CODESYS Control for IOT2000

• CODESYS Control for Linux

• CODESYS Control for PLCnext

• CODESYS Control for PFC100

• CODESYS Control for PFC200

• CODESYS Control for Raspberry Pi

• CODESYS Control RTE V3

• CODESYS Control RTE V3 (for Beckhoff CX)

• CODESYS Control Win V3 (also part of the CODESYS Development System setup)

• CODESYS HMI V3

• CODESYS Control V3 Runtime System Toolkit

• CODESYS V3 Embedded Target Visu Toolkit

• CODESYS V3 Remote Target Visu Toolkit

2.3 漏洞影响范围

CODESYS是一款工业自动化领域的一款开发编程系统，应用领域涉及工厂自动化、汽车自动化、嵌入式自动化、过程自动化和楼宇自动化等。CODESYS软件可以分为两个部分，一部分是运行在各类硬件中的RTE（Runtime Environment），另一部分是运行在PC机上的IDE。因此CODESYS的用户既包括生产PLC、运动控制器的硬件厂商，也包括最终使用PLC、运动控制器的用户。

目前全球有近400家的控制系统生产制造商是CODESYS的用户：如ABB、施耐德电气SchneiderElectric、伊顿电气EATON、博世力士乐Rexroth、倍福BECKHOFF、科控KEBA、日立HITACHI、三菱自动化MITSUBISHI、欧姆龙OMRON、研华科技、凌华科技ADLINK、和利时集团、SUPCON中控集团、步科自动化KINCO等等。

3 漏洞原理及复现过程

3.1 漏洞原理

攻击者可借助特制的请求，利用该漏洞造成基于堆的缓冲区溢出，攻击者通过与服务端建立连接，并请求分配内存，服务器响应攻击者并分配内存，攻击者发送特殊消息使服务端缓冲区溢出，导致Web Server发生崩溃。如下图所示：

图 3-1 CODESYS缓冲区溢出过程

该漏洞存在于CmpWebServerHandlerV3.dll（文件版本3.5.15.20）库中，源于该dll库未能正确的验证由用户提交的发往Web Server URL端点的数据。当CmpWebServerHandlerV3组件状态为“0”时，攻击者可通过向CmpWebServerHandlerV3组件发送一条WEB_CLIENT_OPENCONNECTION消息，请求分配大小为0xffffffff的缓冲区，在缓冲区分配操作过程中SysMemGetCurrentHeapSize函数被SysMemAllocData函数调用向所请求的缓冲区分配大小添加了0x5c字节，缓冲区分配大小会溢出，即实际上分配了一块小的堆缓冲区（0xffffffff+ 0x5c = 0x5b）。攻击者通过发送一条精心构造的WEB_CLIENT_RUN_SERVICE消息以溢出小型通信缓冲区，造成缓冲区溢出，进而使Web Server崩溃[1]。