Symantec完整磁盘加密软件爆0day漏洞

admin

日前，国外安全研究组织Nikita Tarakanov称在Symantec PGP Whole Disk Encryption（完整磁盘加密软件）中发现0day漏洞，该软件的内核驱动程序pgpwded.sys包含一个覆盖任意内存的漏洞，可执行任意代码，受影响的软件版本是Symantec PGP Desktop 10.2.0 Build 2599。
. a7 k" {( k4 n; t
Symantec通过博客文章证实该版本软件确实存在安全问题，但是利用起来比较繁琐，并且仅限于运行在Windows XP和Windows 2003的系统，成功利用该漏洞需要有计算机本地访问权限。
+ K+ A) s6 k" p" N% ^. l! h- ~0 \
研究员Kelvin Kwan称“该漏洞触发场景非常困难，成功利用必须进入一些错误状态，但是成功利用的话可能允许攻击者执行任意代码，获取更高级别的权限”。该漏洞详细细节如下：



) u7 [9 k3 ^- P! r1 D$ afunction at 0x10024C20 is responsible for dispatching ioctl codes:
* _# @! K$ y( L, D1 V
.text:10024C20 ; int __thiscall ioctl_handler_deep(int this, int ioctl, PVOID inbuff, unsigned int inbuff_size, unsigned int outbuff_size, PDWORD bytes_to_return)
% l) N% R$ U* B5 K6 X% r9 G0 D.text:10024C20 ioctl_handler_deep proc near            ; CODE XREF: sub_10007520+6Ap
.text:10024C20
.text:10024C20 DestinationString= UNICODE_STRING ptr -3Ch
.text:10024C20 var_31          = byte ptr -31h
.text:10024C20 var_30          = dword ptr -30h
.text:10024C20 some_var        = dword ptr -2Ch
) U  ~4 `) R2 }.text:10024C20 var_28          = dword ptr -28h
7 i) A7 Y( b7 D.text:10024C20 var_24          = byte ptr -24h
.text:10024C20 var_5           = byte ptr -5
.text:10024C20 var_4           = dword ptr -4
) r$ l% k3 x9 k. M3 c.text:10024C20 ioctl           = dword ptr  8
.text:10024C20 inbuff          = dword ptr  0Ch
.text:10024C20 inbuff_size     = dword ptr  10h
8 m  T" ~6 L5 _5 b! ].text:10024C20 outbuff_size    = dword ptr  14h
.text:10024C20 bytes_to_return = dword ptr  18h
.text:10024C20
/ P- p( d1 q: j7 X5 X  e: [3 h8 d.text:10024C20                 push    ebp
1 b0 I  a- j( l4 _0 [1 w.text:10024C21                 mov     ebp, esp
- p5 O+ L8 D0 Z/ [! N8 @! }+ z7 i3 t.text:10024C23                 sub     esp, 3Ch
.text:10024C26                 mov     eax, BugCheckParameter2
4 a' D$ u1 C+ I6 a9 [  O! o; |  Q.text:10024C2B                 xor     eax, ebp
+ z4 h+ I1 r$ h0 T  x* |.text:10024C2D                 mov     [ebp+var_4], eax
.text:10024C30                 mov     eax, [ebp+ioctl]
- ?  n1 s% p, C  `.text:10024C33                 push    ebx
.text:10024C34                 mov     ebx, [ebp+inbuff]
.text:10024C37                 push    esi
( i' b! Y# s- ^' d8 `1 z.text:10024C38                 mov     esi, [ebp+bytes_to_return]
.text:10024C3B                 add     eax, 7FFDDFD8h
" ?- D; J( I8 g) K& V.text:10024C40                 push    edi
- S, j$ A  x4 j. p9 K7 H/ D.text:10024C41                 mov     edi, ecx
; H: e8 d1 g- i1 l5 Y, m.text:10024C43                 mov     [ebp+some_var], esi
% b; s. U7 h, _/ s.text:10024C46                 mov     [ebp+var_28], 0
5 q% ]9 M# e& X9 X/ f' n" D.text:10024C4D                 cmp     eax, 0A4h       ; switch 165 cases
.text:10024C52                 ja      loc_10025B18    ; jumptable 10024C5F default case
.text:10024C58                 movzx   eax, ds:byte_10025BF0[eax]
.text:10024C5F                 jmp     dsff_10025B50[eax*4] ; switch jump

  r7 M' t6 R3 h" Q0 [2 b, d% `[..]
7 l  {$ ~9 D1 a" p
$ o, s, ]8 |6 f7 @0x80022058 case: no check for outbuff_size == 0! <--- FLAW!
) e: N8 P9 I( S
: _, m7 Z2 c- Z; }( S. B) c9 U+ ?.text:10024F5A                 lea     ecx, [edi+958h]
.text:10024F60                 call    sub_100237B0
.text:10024F65                 mov     [ebp+some_var], eax
. e% p( o+ m; @6 r6 K# f8 Y9 l2 t.text:10024F68                 test    eax, eax
.text:10024F6A                 jnz     short loc_10024F7D
.text:10024F6C                 mov     dword ptr [ebx], 0FFFFCFFAh
' X' x1 d: o+ a8 H.text:10024F72                 mov     dword ptr [esi], 10h <--- bytes to copy to output buffer
5 Z& g. w- K0 I3 i) V2 S
next in IofComplete request will be rep movsd at pointer, that is under attacker's control
% j) p6 q5 w% X! {( v$ A
# Q& Q/ D' X: j8 q" R$ d8 }4 `0 ]Due the type of vulnerability (METHO_BUFFERED with output_size == 0) exploit works only on Winows XP/2k3, cause in later Windows OS I/O manager doesn't craft IRP if ioctl is METHOD_BUFFERED and output_size == 0.

7 O  X4 W) Q8 ]Symantec表示在2月份的补丁包中修复该漏洞。
6 _/ Q; K8 Q) Z7 x! V* L9 q
) ~  E) ^% R  r$ ?' @3 B8 O相关阅读：

& j6 b7 L8 c5 \1 `赛门铁克的 PGP Whole Disk Encryption 为企业提供了全面的高性能完整磁盘加密功能，可对台式机、笔记本电脑和可移动介质上的所有数据（用户文件、交换文件、系统文件、隐藏文件等）进行完整磁盘加密。该完整磁盘加密软件可让数据免遭未经授权的访问，从而为知识产权、客户和合作伙伴数据提供强大的安全防护。受保护的系统可由 PGP Universal Server 集中管理，这就简化了部署、策略创建、分发和报告过程。
, X9 H7 b) `, C2 ^4 R% L; I- W
5 I% D, e3 B4 r; Z