####################################################################### Luigi Auriemma Applicazione: IGI 2: Covert Strike http://www.igi2-game.com Versioni: <= 1.3 Piattaforme: Windows e Linux Bugs: A] nickname format string B] accesso invalido alla memoria C] messages format string Exploitation: remoto, contro server e clients (in-game) Data: 14 Apr 2005 Autore: Luigi Auriemma e-mail: aluigi@autistici.org web: aluigi.org ####################################################################### 1) Introduzione 2) Bugs 3) The Code 4) Fix ####################################################################### =============== 1) Introduzione =============== IGI 2 e' un gioco FPS tattico sviluppato da Innerloop (http://www.innerloop.com) e distribuito da Codemasters (http://www.codemasters.com). E' stato rilasciato a Febbraio 2003. ####################################################################### ======= 2) Bugs ======= Tutti i bugs sono in-game quindi l'attacker deve entrare nel server per poterli sfruttare: ------------------------- A] nickname format string ------------------------- Il server e' vulnerabile ad un format string bug che avviene durante la gestione dei nicknames dei giocatori. Update: questo bug e' lo stesso dell'advisory: http://aluigi.org/adv/igi2fs-adv.txt -------------------------------- B] accesso invalido alla memoria -------------------------------- Utilizzando un nickname molto grande e' possibile crashare il server a causa dell'accesso ad una zona di memoria non valida. L'istruzione eseguita e' "cmp [EAX], 00000000" dove EAX contiene 4 dei bytes di cui il campo nickname e' composto. ------------------------- C] messages format string ------------------------- Un altro format string, ma stavolta soltanto i clients sono vulnerabili. Infatti e' possibile inviare un messaggio formattato per sfruttare il bug su tutti i clients connessi al server. Il gioco sembra molto incline ai format string bug quindi non e' da escludere che ne esistano altri od altre vie per sfruttare le funzioni vulnerabili (ad esempio un anno fa' riportai un format string nella gestione dei comandi RCON: http://aluigi.org/adv/igi2fs-adv-ita.txt) ma penso che questi siano abbastanza. ####################################################################### =========== 3) The Code =========== http://aluigi.org/poc/igi2bugs.zip ####################################################################### ====== 4) Fix ====== No fix. Il gioco non e' piu' supportato. #######################################################################