[ALARM] buffer overflow in netfilter conntrack-0.5.0

sisi8408

1. 
   
2. buffer overflow is discovered in parsing TCP options,
   
3. in both tcp_sack() and tcp_options() functions,
   
4. implemented in nf_conntrack_proto_tcp.c of linux-2.6.22/23.x
   
5. 
   
6. /* in linux-2.6.23.8/net/netfilter/nf_conntrack_proto_tcp.c */
   
7. 
   
8. static void tcp_options(const struct sk_buff *skb,
   
9.                         unsigned int dataoff,
   
10.                         struct tcphdr *tcph,
    
11.                         struct ip_ct_tcp_state *state)
    
12. {
    
13.         unsigned char buff[(15 *4) - sizeof(struct tcphdr)];
    
14.         unsigned char *ptr;
    
15.         int length = (tcph->doff *4) - sizeof(struct tcphdr);
    
16. 
    
17.         if (!length)
    
18.                 return;
    
19. 
    
20. /*
    
21.   If 108-byte TCP SYN packet is received in
    
22.   the manner of two frags:
    
23.   farg-I, 20-byte-IP + 20-byte-TCP + 24-byte-TCP_OPT
    
24.            and tcp->doff assigned to 0xf
    
25. 
    
26.   farg-II, 20-byte-IP + 16-byte-TCP_OPT + 28-byte-TRASH
    
27. 
    
28.   then the `ptr' is forcedly assigned to `buff',
    
29.   and sizeof(buff) is 40-byte.
    
30. */
    
31. 
    
32.         ptr = skb_header_pointer(skb, dataoff + sizeof(struct tcphdr),
    
33.                                  length, buff);
    
34.         BUG_ON(ptr == NULL);
    
35. 
    
36.         state->td_scale = state->flags = 0;
    
37. 
    
38. /*
    
39.   the 40-byte-TCP_OPT is simply filled, and
    
40.   copied into `buff' by skb_header_pointer(),
    
41.   buff[0 ... 38] = TCPOPT_NOP ;
    
42.   buff[39] = TCPOPT_WINDOW ;
    
43. */
    
44. 
    
45.         while (length > 0) {
    
46.                 int opcode = *ptr++;
    
47.                 int opsize;
    
48. 
    
49.                 switch (opcode) {
    
50.                 case TCPOPT_EOL:
    
51.                         return;
    
52. 
    
53.                 case TCPOPT_NOP:        /* Ref: RFC 793 section 3.1 */
    
54.                         length--;
    
55.                         continue;
    
56.                 default:
    
57. /*
    
58.   if (opcode == TCPOPT_WINDOW)
    
59.         buff overflow ;/
    
60. */
    
61.                         opsize = *ptr++;
    
62.                         if (opsize < 2)                /* silly options */
    
63.                                 return;
    
64.                         if (opsize > length)
    
65.                                 break;                /* don't parse partial options */
    
66. 
    
67.                         if (opcode == TCPOPT_SACK_PERM
    
68.                             && opsize == TCPOLEN_SACK_PERM)
    
69.                                 state->flags |= IP_CT_TCP_FLAG_SACK_PERM;
    
70.                         else if (opcode == TCPOPT_WINDOW
    
71.                                  && opsize == TCPOLEN_WINDOW) {
    
72.                                 state->td_scale = *(u_int8_t *)ptr;
    
73. 
    
74.                                 if (state->td_scale > 14) {
    
75.                                         /* See RFC1323 */
    
76.                                         state->td_scale = 14;
    
77.                                 }
    
78.                                 state->flags |= IP_CT_TCP_FLAG_WINDOW_SCALE;
    
79.                         }
    
80.                         ptr += opsize - 2;
    
81.                         length -= opsize;
    
82.                 }
    
83.         }
    
84. }
    

复制代码