CVE-2017-9048#

Description#

CVE-2017-9048

Aggregating intelligence...

PRODUCT...

Compile#

Download#

git clone https://github.com/GNOME/libxml2.git && cd libxml2
git checkout v2.9.4

Build#

由于这个漏洞发生在 valid.c 的 xmlSnprintfElementContent 中，所以我们可以禁用一些无关的东西来提高 fuzzing 效率。

./autogen.sh
AFL_USE_ASAN=1 \
CC=afl-clang-lto \
CXX=afl-clang-lto++ \
./configure \
  --prefix="$(realpath ../libxml2-fuzz-asan)" \
  --disable-shared \
  --without-debug \
  --without-ftp \
  --without-http \
  --without-legacy \
  --without-python
make clean && \
AFL_USE_ASAN=1 make -j`nproc` && \
AFL_USE_ASAN=1 make install

每次耗时最长的就是「如何编译」……

看了一圈，报错原因全都是因为 invalid token at start of a preprocessor expression，而这个错误的产生又是因为 .in 文件中 @@ 占位多了一个空格，比如 @WITH_PUSH @，把那个空格去掉即可。

如果使用 grug-far.nvim，那可以用 @([^@\s]+)\s+@ 搜索，@$1@ 替换：

之后再次编译就没问题了。

说实话这个插桩数量确实有点吓人了，光插桩就用了十三分钟……所以一会儿我们必须多线程 fuzz 才行。

为了检查插桩是否成功，可以使用 ASAN_OPTIONS=help=1 ../libxml2-fuzz-asan/bin/xmllint，或者查看符号：nm ../libxml2-fuzz-asan/bin/xmllint | rg -i asan。

由于 ASAN 会占用大量内存，并造成 2x - 10x 的减速，所以建议是只开一个 ASAN 线程用来找错，剩下线程都用普通插桩的版本来快速探路提高吞吐量。

更多信息可参考 Notes for using ASAN with afl-fuzz 。

再编译一个普通版：

CC=afl-clang-lto \
CXX=afl-clang-lto++ \
./configure \
  --prefix="$(realpath ../libxml2-fuzz-lite)" \
  --disable-shared \
  --without-debug \
  --without-ftp \
  --without-http \
  --without-legacy \
  --without-python
make clean && \
make -j`nproc` && \
make install

Samples#

由于随机编译很难凑出一个正确的 xml tag, 所以我们可以给 fuzzer 加上字典，增加它撞到正确格式的概率。AFL++ 提供了一些常用字典：

至于 corpus, libxml2 自己的 test 目录下就有一些，然后我又自己写了两个 <!DOCTYPE a []> 和 <a b="c">d</a>。

Fuzzing#

xmllint 有很多选项，理想情况是尽可能都组合上用一遍，以便让它能探索到更多路径。

我写了个自动起多线程 fuzz 的脚本，并在参数池中随便放了几个参数：

1
#!/bin/bash
2

3
MASTER_BIN="../libxml2-fuzz-asan/bin/xmllint"
4
SLAVE_BIN="../libxml2-fuzz-lite/bin/xmllint"
5
INPUT_CORPUS="corpus"
6
OUTPUT_DIR="outs"
7
SHM_BASE="/dev/shm/fuzz"
8

9
# Arguments for the Master instance
10
MASTER_ARGS="--debug --valid"
11

12
# Argument pool for Slave instances
13
SLAVE_ARGS_POOL=(
14
  "--memory --oldxml10"
15
  "--postvalid"
16
)
17

18
# --- Dictionary Support ---
19
DICT_PATH="./dict/xml.dict"
20
DICT_OPT=""
21
if [ -d "$DICT_PATH" ] || [ -f "$DICT_PATH" ]; then
22
  DICT_OPT="-x $DICT_PATH"
23
fi
24

25
# --- Environment Check ---
26
if [ ! -f "$MASTER_BIN" ] || [ ! -f "$SLAVE_BIN" ]; then
27
  echo "[-] Error: Fuzzing binaries not found. Check your paths."
28
  exit 1
29
fi
30

31
TOTAL_THREADS=${1:-4}
32
if [ "$TOTAL_THREADS" -lt 1 ]; then
33
  echo "Usage: $0 [total_threads]"
34
  exit 1
35
fi
36

37
# --- Resume Logic ---
38
if [ -d "$OUTPUT_DIR/master" ]; then
39
  echo "[*] Existing output detected. Resuming fuzzing session..."
40
  INPUT_OPT="-i -"
41
else
42
  echo "[*] First run. Using input corpus: $INPUT_CORPUS"
43
  mkdir -p "$OUTPUT_DIR"
44
  INPUT_OPT="-i $INPUT_CORPUS"
45
fi
46

47
mkdir -p "$SHM_BASE"
48

49
# --- Launch Master (ASAN) ---
50
echo "[+] Launching Master (ASAN) | Args: $MASTER_ARGS @@"
51
mkdir -p "$SHM_BASE/master"
52
AFL_TMPDIR="$SHM_BASE/master" \
53
  afl-fuzz $INPUT_OPT \
54
  -o "$OUTPUT_DIR" \
55
  -m none \
56
  $DICT_OPT \
57
  -M master \
58
  -- "$MASTER_BIN" $MASTER_ARGS @@ >"$OUTPUT_DIR/master.log" 2>&1 &
59

60
# Brief sleep to let Master initialize
61
sleep 2
62

63
# --- Launch Slaves (Non-ASAN) ---
64
NUM_VARIANTS=${#SLAVE_ARGS_POOL[@]}
65

66
for i in $(seq 1 $((TOTAL_THREADS - 1))); do
67
  SLAVE_NAME="slave_$i"
68
  ARG_INDEX=$(((i - 1) % NUM_VARIANTS))
69
  CURRENT_ARGS=${SLAVE_ARGS_POOL[$ARG_INDEX]}
70

71
  echo "[+] Launching $SLAVE_NAME | Args: $CURRENT_ARGS @@"
72
  mkdir -p "$SHM_BASE/$SLAVE_NAME"
73

74
  AFL_TMPDIR="$SHM_BASE/$SLAVE_NAME" \
75
    afl-fuzz $INPUT_OPT \
76
    -o "$OUTPUT_DIR" \
77
    -m none \
78
    $DICT_OPT \
79
    -S "$SLAVE_NAME" \
80
    -- "$SLAVE_BIN" $CURRENT_ARGS @@ >/dev/null 2>&1 &
81
done
82

83
echo "------------------------------------------------------"
84
echo "[!] Successfully started $TOTAL_THREADS instances with @@ input mode."
85
echo "[!] Check status: afl-whatsup $OUTPUT_DIR"
86
echo "[!] Stop all:     pkill afl-fuzz"
87
echo "------------------------------------------------------"