Format String Vulnerability

Définition

Les vulnérabilités de format string surviennent quand des fonctions de formatage C (printf, sprintf, fprintf, snprintf, vsprintf) reçoivent des données contrôlées par un attaquant directement comme chaîne de format, sans vérification. Elles permettent potentiellement la lecture et l'écriture arbitraire de mémoire, l'exécution de code, et le bypass de mécanismes de sécurité. Le problème fondamental : printf(user_input) vs printf("%s", user_input). Dans le premier cas, si user_input contient des spécificateurs de format (%x, %s, %n), printf les interprète et accède aux arguments supposément sur la pile ou dans les registres, même s'ils n'existent pas. Un attaquant peut envoyer une chaîne comme %08x.%08x.%08x.%08x pour lire 4 valeurs depuis la pile, ou %n pour écrire à l'adresse pointée par la valeur correspondante sur la pile. Les capacités d'exploitation d'une format string vulnerability incluent : la lecture de la mémoire de la pile (avec %x/%p/%s pour révéler des adresses, des valeurs de canaries, des données sensibles), l'écriture arbitraire en mémoire (avec %n qui écrit le nombre de caractères écrits jusqu'à ce point vers l'adresse sur la pile), et la construction d'un primitif d'écriture arbitraire 4-bytes via des techniques de positionnement de paramètres (%N$n pour accéder au N-ième argument). Des techniques avancées permettent d'écrire des valeurs arbitraires en mémoire en contrôlant le nombre de caractères écrits avant %n via des remplissages (%Nd pour écrire N espaces). Cibler la GOT (Global Offset Table) d'un binaire non-PIE pour overwriter l'adresse d'une fonction (ex: exit) avec l'adresse du shellcode ou d'une chaîne ROP est une exploitation classique. Ces vulnérabilités sont moins communes dans les binaires modernes compilés avec FORTIFY_SOURCE (-D_FORTIFY_SOURCE=2) qui détecte à la compilation les usages dangereux de printf, mais restent présentes dans du code legacy, des firmwares embarqués, et des applications C non maintenues.