Symantec完整磁盘加密软件爆0day漏洞

admin

日前，国外安全研究组织Nikita Tarakanov称在Symantec PGP Whole Disk Encryption（完整磁盘加密软件）中发现0day漏洞，该软件的内核驱动程序pgpwded.sys包含一个覆盖任意内存的漏洞，可执行任意代码，受影响的软件版本是Symantec PGP Desktop 10.2.0 Build 2599。

Symantec通过博客文章证实该版本软件确实存在安全问题，但是利用起来比较繁琐，并且仅限于运行在Windows XP和Windows 2003的系统，成功利用该漏洞需要有计算机本地访问权限。

研究员Kelvin Kwan称“该漏洞触发场景非常困难，成功利用必须进入一些错误状态，但是成功利用的话可能允许攻击者执行任意代码，获取更高级别的权限”。该漏洞详细细节如下：
7 m4 H- A; K- e2 [7 F# C$ a
6 F4 V/ M9 c7 \# z) |& m
) Q, ?4 \2 z7 T, H0 e
function at 0x10024C20 is responsible for dispatching ioctl codes:
% h% T2 T8 G' ?0 ]6 T+ l  x
! x2 l9 @' T1 @& P.text:10024C20 ; int __thiscall ioctl_handler_deep(int this, int ioctl, PVOID inbuff, unsigned int inbuff_size, unsigned int outbuff_size, PDWORD bytes_to_return)
.text:10024C20 ioctl_handler_deep proc near            ; CODE XREF: sub_10007520+6Ap
.text:10024C20
' }  g8 [+ M% \" _.text:10024C20 DestinationString= UNICODE_STRING ptr -3Ch
.text:10024C20 var_31          = byte ptr -31h
.text:10024C20 var_30          = dword ptr -30h
8 Y+ y/ J7 Y/ j.text:10024C20 some_var        = dword ptr -2Ch
.text:10024C20 var_28          = dword ptr -28h
0 I, }" o& H* _8 }.text:10024C20 var_24          = byte ptr -24h
! M: C6 i& }5 T& {, S+ E.text:10024C20 var_5           = byte ptr -5
7 u0 E1 M9 R2 {- F/ ^6 Y.text:10024C20 var_4           = dword ptr -4
+ }4 c. q9 {* R" g1 u.text:10024C20 ioctl           = dword ptr  8
, s4 p# O+ w& G* y8 n* H.text:10024C20 inbuff          = dword ptr  0Ch
.text:10024C20 inbuff_size     = dword ptr  10h
9 p# O8 S1 j3 X.text:10024C20 outbuff_size    = dword ptr  14h
; g9 a0 Z7 v) P5 B.text:10024C20 bytes_to_return = dword ptr  18h
.text:10024C20
/ t& w8 ^0 x; C2 ~+ F. M$ J0 K' z.text:10024C20                 push    ebp
- J. N/ I* [/ u) \. {5 O( Y7 k.text:10024C21                 mov     ebp, esp
.text:10024C23                 sub     esp, 3Ch
- U  j+ H: |* M4 ?) A9 y.text:10024C26                 mov     eax, BugCheckParameter2
. _' ]0 J! M. E* \: g& G5 Y1 O.text:10024C2B                 xor     eax, ebp
; N0 G. K* q8 a* w7 {8 I1 B- \& L.text:10024C2D                 mov     [ebp+var_4], eax
.text:10024C30                 mov     eax, [ebp+ioctl]
.text:10024C33                 push    ebx
.text:10024C34                 mov     ebx, [ebp+inbuff]
6 K% \8 x6 ~4 @& w  w4 ?- |.text:10024C37                 push    esi
.text:10024C38                 mov     esi, [ebp+bytes_to_return]
$ t, k) k* U/ q# z) Z.text:10024C3B                 add     eax, 7FFDDFD8h
  s$ C# J6 p" i% v6 J" z.text:10024C40                 push    edi
: ?# x8 l5 K! M7 \2 b. f0 b.text:10024C41                 mov     edi, ecx
.text:10024C43                 mov     [ebp+some_var], esi
.text:10024C46                 mov     [ebp+var_28], 0
.text:10024C4D                 cmp     eax, 0A4h       ; switch 165 cases
& K  f. U. d% Z' x# c: n- L( P.text:10024C52                 ja      loc_10025B18    ; jumptable 10024C5F default case
* @- w2 {4 I! o7 j& \.text:10024C58                 movzx   eax, ds:byte_10025BF0[eax]
6 Y4 y1 R5 ~) P5 t: w( E.text:10024C5F                 jmp     dsff_10025B50[eax*4] ; switch jump

: N1 S0 w* N4 u1 Y[..]
" p  m" c) u, F7 u* o
0x80022058 case: no check for outbuff_size == 0! <--- FLAW!
9 g" U, |" _# R
.text:10024F5A                 lea     ecx, [edi+958h]
.text:10024F60                 call    sub_100237B0
.text:10024F65                 mov     [ebp+some_var], eax
+ m7 _4 a+ p3 N% J) N  m9 |.text:10024F68                 test    eax, eax
4 B) Z( @* v/ ]; Y2 Y1 A, ^2 Z( C, U9 p.text:10024F6A                 jnz     short loc_10024F7D
6 S% ]: ^' H! `. d.text:10024F6C                 mov     dword ptr [ebx], 0FFFFCFFAh
.text:10024F72                 mov     dword ptr [esi], 10h <--- bytes to copy to output buffer
2 o  w$ z# c' w, R" m" n% r/ [" A
next in IofComplete request will be rep movsd at pointer, that is under attacker's control
) Z. Y( |, u8 b7 v% z# W" b* l+ W
4 c4 X' o3 ]% \! Q3 }  g. X" e& J+ SDue the type of vulnerability (METHO_BUFFERED with output_size == 0) exploit works only on Winows XP/2k3, cause in later Windows OS I/O manager doesn't craft IRP if ioctl is METHOD_BUFFERED and output_size == 0.

4 h/ z+ u9 l7 n8 ESymantec表示在2月份的补丁包中修复该漏洞。

相关阅读：

2 S9 Q! `  b5 k  X# Q) R3 f赛门铁克的 PGP Whole Disk Encryption 为企业提供了全面的高性能完整磁盘加密功能，可对台式机、笔记本电脑和可移动介质上的所有数据（用户文件、交换文件、系统文件、隐藏文件等）进行完整磁盘加密。该完整磁盘加密软件可让数据免遭未经授权的访问，从而为知识产权、客户和合作伙伴数据提供强大的安全防护。受保护的系统可由 PGP Universal Server 集中管理，这就简化了部署、策略创建、分发和报告过程。