CVE-2020-7248 OpenWRT libubox标记二进制数据序列化漏洞（更新中）

提要

        该文档会一直处于更新当中，当状态为完毕后，才是更新完成。由于网络上关于该漏洞原理的分析文档和资源实在是太少，而本人关于该方向也才是刚入门，能力有限，所以复现需要的时间较长，需要补充和学习的东西较多，若大家有什么建议，欢迎评论区一起讨论进步。

漏洞简介

        OpenWrt是一套针对嵌入式设备的Linux操作系统，libubox是其中的一个提供事件循环、二进制格式处理、Linux链表实现和JSON辅助处理的基础库。

        该漏洞与标记的二进制数据的JSON转换部分（blob）有关。Blob属性有足够大的double类型数值，由blobmsg_format_json处理，会溢出为堆栈上分配的JSON输出指定的缓冲区数组。攻击者可以向blobmsg_format_json提供特制的二进制blob或JSON输入，从而在double值序列到JSON缓冲区时造成堆栈溢出。

        libubox库是OpenWrt项目的核心组件，并在项目的其他部分使用。通过在项目的LXR[1]中查找上述易受攻击的blobmsg_format_json函数，可以看到这些相互依赖关系，该函数揭示了netifd、procd、ubus、rpcd、uhttpd中的引用。也就是说，依赖调用到blobmsg_format_json的有很多其它的部分，我们本次复现主要针对rpcd对这个漏洞的利用。

        简单介绍一下rpcb

参考：

[OpenWrt Wiki] Security Advisory 2020-01-31-2 - libubox tagged binary data JSON serialization vulnerability (CVE-2020-7248)

论文：A Grounded Theory Based Approach to Characterize So! ware" Attack Surfaces