原文链接：https://mp.weixin.qq.com/s/5f8GqQ892ZwbWLdowXXVOg

1. 漏洞概述

2. 基础知识

2.1 IPv6 fragment

如果发送的数据包大小超过了最大传输单元（MTU），IPv6 源节点会将数据包分割成多个分片，在前面添加 fragment header ，作为单独的数据包进行传送，然后由目的节点对数据包进行重组。

Fragment header 结构如下：

• Next header: 1 字节，未分割之前原始数据包的包头类型；
• Reserved: 1 字节，初始化为 0；
• Fragment Offset: 13 比特，头部后方数据相对于原始可分割单位的偏移，以 8 字节为单位；
• Res: 2 比特，初始化为 0；
• M flag: 1 = 后面还有fragments; 0 = 这是最后一个fragment;
• Identification: 4 字节，由发送源点生成，用于和最近发送的，且源地址和目的地址相同的分片数据包做区分。

在分割时，数据包会被分为 不可分片部分 和 可分片部分：

• 不可分片部分：数据包中需要被中间节点处理的部分，例如IPv6头、Hop-by-Hop Options头、中间节点的Destination Options头、Routing头等
• 可分片部分：数据包中只需要被目的节点处理的部分，例如目的节点的Destination Options头、上层（ICMPv6、TCP、UDP）头以及上层的数据

假设原始数据包组成如下：

根据数据包的大小，它会被源节点分成多个分片:

当上面的数据包都到达目的节点后，会重组成为原始数据包：

• 从第一个分片数据包获取不可分片部分；
• 将每个数据包中 Fragment header 后面的数据提取出来，组成可分片部分。

除此之外需要修改两个位置的数值：

• 不可分片部分最后一个头部中的 next header 字段，数值从第一个分片的 fragment header 中获取；
• 重组后数据包的 Payload length 字段需要重新进行计算。

2.2 IPSec

Internet Protocal Security(IPsec) 是一个安全网络协议组，可以对数据包进行验证和数据加密，从而为位于 IP 网络中的两台计算机提供安全的加密通信。IPsec 用于 virtual private networks(VPNs)。

IPsec 使用以下的协议实现不同的功能：

• Authentication Header(AH): 为IP 数据包提供无连接数据完整性和数据源认证，为重放攻击提供保护；
• Encapsulating Security Payloads(ESP): 提供机密性、无连接数据完整性、数据源认证、反重放服务（通过部分序列完整性的方式）以及有效的通信流机密性；
• Internet Security Association and Key Management Protocol(ISAKMP): 提供了一个用于身份认证和密钥交换的框架，通过手动配置预共享密钥、Internet Key Exchange(IKE和IKEv2)、Kerverized Internet Negotiation of Keys(KINK) 或者 IPSECKEY DNS 记录来提供真正经过验证的密钥材料。该协议的目的是使用 AH 或 ESP 操作所需的各种算法和参数生成 security associations(SA)。

其中 ESP 结构如下：

• Security Parameters Index (32 bits)
  随机值，和目标 IP 一起用于识别接收方的 security association
• Sequence Number (32 bits)
  递增计数器，防止重放攻击
• Payload data (variable)
  保护的原始 IP 包内容，还包括用于保护数据的其他参数（例如用于加密算法的初始化变量）。保护的数据类型由下面的 Next Header 字段说明。
• Padding (0-255 octets)
  填充数据，用于和加密算法的 cipher block size 以及下一个字段对齐
• Pad Length (8 bits)
  填充数据的长度，以八位字节为单位
• Next Header (8 bits)
  下一个头部的类型，数值选自 List of IP protocol numbers
• Integrity Check Value (multiple of 32 bits)
  可变长度的检查值，可能包含填充数据，用于和 IPv6 的 8 字节边界或者 IPv4 的 4 字节边界进行对齐

3. 漏洞分析

漏洞发生时的函数调用栈如下：

根据以上信息可以确定，tcpip.sys 使用 IppReceiveHeaderBatch 函数处理接收到的数据包，对 next header 的数值进行判断并调用相应函数处理对应头部，漏洞就发生在处理 fragment header 的时候。

tcpip.sys 会调用 Ipv6pReceiveFragmentList 函数对 fragment header 进行处理，在对分片进行重组的时候：

缓冲区 data 的大小为 HeaderAndOptionsLength，next header 的偏移值为 Reassembly->nh_offset。发生越界写的原因就是 Reassembly->nh_offset 的数值大于 HeaderAndOptionsLength。

接下来通过调试确定这两个数值的来源，测试用数据包组成如下：

由于 ESP header 在 Routing header 之后，系统会先处理 ESP header。tcpip.sys 会调用 IppReceiveEspList 函数处理该头部，具体功能位于 IppReceiveEspNbl 函数中，该函数会对 ESP 中的加密数据进行解密，解密结果为：

可以看到 next header 字段的数值为 0x2c，即 Fragment Header for IPv6，系统处理完 ESP 后会继续处理 fragment header。

整理调试过程中，Reassembly->nh_offset 和 HeaderAndOptionsLength 的数据来源变化情况：

由此可以看出，系统在处理 ESP header 时，因为 next header 位于数据包的尾部， 因此 nh_offset 的计算考虑了 payload 的长度；但是在处理 fragment header 的时候，系统认为 next_header 位于 ExtensionHeader 中。即：

实际上，根据 RFC8200 ，在进行分片的时候，ESP header 是不能放在 fragment header 的前面的：

其中的 Ext & Upper-Layer Headers 可能包括 TCP、UDP、IPv4、IPv6、ICMPv6、ESP 等。

4. 补丁对比

Ipv6pReassembleDatagram 新增代码段

IppReceiveEsp 新增代码段

可以看到经过补丁修复之后，系统对 ESP header 的 next header 字段进行了判断，不再允许小于等于 0x2c 的头部，同时在进行分片重组时，对 Reassembly->nh_offset 和 HeaderAndOptionsLength 的数值进行了判断。

5. 参考资料

1. Analysis of a Windows IPv6 Fragmentation Vulnerability: CVE-2021-24086
2. Reverse-engineering tcpip.sys: mechanics of a packet of the death (CVE-2021-24086)
3. IPsec wiki
4. IP Encapsulating Security Payload (ESP)
5. Internet Protocol, Version 6 (IPv6) Specification

[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。