日前，国外安全研究组织Nikita Tarakanov称在Symantec PGP Whole Disk Encryption（完整磁盘加密软件）中发现0day漏洞，该软件的内核驱动程序pgpwded.sys包含一个覆盖任意内存的漏洞，可执行任意代码，受影响的软件版本是Symantec PGP Desktop 10.2.0 Build 2599。
" E9 _- L" C6 P5 C% T- ~ \: a9 U
Symantec通过博客文章证实该版本软件确实存在安全问题，但是利用起来比较繁琐，并且仅限于运行在Windows XP和Windows 2003的系统，成功利用该漏洞需要有计算机本地访问权限。
* ?) G/ ~1 ]5 `+ ?' J( {8 q8 L% D
. ]) I! N2 i8 L n! j8 n2 v2 T研究员Kelvin Kwan称“该漏洞触发场景非常困难，成功利用必须进入一些错误状态，但是成功利用的话可能允许攻击者执行任意代码，获取更高级别的权限”。该漏洞详细细节如下：/ ~- b: C; j. [; G
1 p% f, x! G7 ], O5 G( L
, M" ^( Z% d: f" g# }6 a8 w/ k! g W' h, Y. b( j! d
function at 0x10024C20 is responsible for dispatching ioctl codes:# E# _$ F! n3 ]0 g8 Q/ H
( S& b7 w$ }& ]1 }0 u- v6 v+ M8 W.text:10024C20 ; int __thiscall ioctl_handler_deep(int this, int ioctl, PVOID inbuff, unsigned int inbuff_size, unsigned int outbuff_size, PDWORD bytes_to_return)
) V1 S% T% b4 e3 [8 u/ W( d.text:10024C20 ioctl_handler_deep proc near ; CODE XREF: sub_10007520+6Ap
v1 E1 L- j& s$ m2 {.text:10024C20
1 `6 L' ~$ @8 _' K8 r, L7 x" [$ |6 g.text:10024C20 DestinationString= UNICODE_STRING ptr -3Ch% C( X- a2 Q- z% ?( ]. g. j
.text:10024C20 var_31 = byte ptr -31h7 z8 s: b! k" U \
.text:10024C20 var_30 = dword ptr -30h) f$ D1 q2 i' O! x+ N2 t- `
.text:10024C20 some_var = dword ptr -2Ch6 U8 q9 j! W% Q% x: l5 V0 T7 x
.text:10024C20 var_28 = dword ptr -28h6 v9 f1 r$ a2 [3 B' q4 m, a
.text:10024C20 var_24 = byte ptr -24h& K% L/ W* b( s8 h; k
.text:10024C20 var_5 = byte ptr -5
4 f' H+ v; N& j0 U. ^1 a! h.text:10024C20 var_4 = dword ptr -4
6 o) n8 c) X' d.text:10024C20 ioctl = dword ptr 86 e5 j' t8 e \' ?# `4 m/ x( R5 r4 T+ i5 N
.text:10024C20 inbuff = dword ptr 0Ch
& X0 {3 H* N/ J- B3 f5 Z.text:10024C20 inbuff_size = dword ptr 10h8 y/ V0 n" u+ b5 G7 w
.text:10024C20 outbuff_size = dword ptr 14h
, V6 m4 A; {6 H.text:10024C20 bytes_to_return = dword ptr 18h2 m7 i( r- v# C# \2 T$ J
.text:10024C20
& q- w3 M7 ~4 u/ W5 U& J+ I.text:10024C20 push ebp. I* I2 {+ H$ s
.text:10024C21 mov ebp, esp
4 u" J8 u% Z2 d.text:10024C23 sub esp, 3Ch4 N% P6 U) S, E$ } M' J! r6 d
.text:10024C26 mov eax, BugCheckParameter2
7 H% W9 D: b( I7 B* P1 Z.text:10024C2B xor eax, ebp z3 L2 C: o, W9 U0 J- |/ ~8 o
.text:10024C2D mov [ebp+var_4], eax( b4 X0 j# d3 L; Z5 j' p' @" A$ S% v J5 C
.text:10024C30 mov eax, [ebp+ioctl]
. V) b& F& L$ {" w- x1 O.text:10024C33 push ebx9 j9 V: b) D e9 ~& ]8 G
.text:10024C34 mov ebx, [ebp+inbuff]
2 a" r( k! j: u" q( y9 f.text:10024C37 push esi
0 S9 a3 k `( f. `1 {.text:10024C38 mov esi, [ebp+bytes_to_return] e* D5 h7 p- S
.text:10024C3B add eax, 7FFDDFD8h
8 _: M }" s% d6 c3 x* b9 V% M.text:10024C40 push edi
: y9 f m0 _. ?% e2 [9 e.text:10024C41 mov edi, ecx, L/ d% c- T4 B& W
.text:10024C43 mov [ebp+some_var], esi8 O. C3 v/ }, M( n! ^
.text:10024C46 mov [ebp+var_28], 0
4 R7 ]; S0 N/ L# y0 ~( f.text:10024C4D cmp eax, 0A4h ; switch 165 cases
* ^" W% l! D6 i v.text:10024C52 ja loc_10025B18 ; jumptable 10024C5F default case; _$ |* o& L! D3 P! E1 ~
.text:10024C58 movzx eax, ds:byte_10025BF0[eax]5 \6 ]" S1 ?0 W; F. q v/ `% a1 s
.text:10024C5F jmp ds ff_10025B50[eax*4] ; switch jump- h* \& @* {2 A. P! F' i
$ s/ Y' j$ n% p* m+ _
[..]
4 C" o. S& E# Y! F+ x! |8 f0 ~! x; D$ N4 Q% d
0x80022058 case: no check for outbuff_size == 0! <--- FLAW!. T8 x+ M, L9 L
; _7 ?. X5 F9 U
.text:10024F5A lea ecx, [edi+958h]# z3 m3 S$ F J4 c/ N K1 s5 @
.text:10024F60 call sub_100237B0% X0 Z7 A/ w5 S4 Q# U0 p
.text:10024F65 mov [ebp+some_var], eax7 \% d7 g0 n8 O2 a+ `, f0 x/ [
.text:10024F68 test eax, eax3 j# g e( T, B L( M6 I2 w
.text:10024F6A jnz short loc_10024F7D7 m2 o5 Q; |- q4 R1 b+ _- q" n+ I
.text:10024F6C mov dword ptr [ebx], 0FFFFCFFAh
' x' d# [( f) O& W! M.text:10024F72 mov dword ptr [esi], 10h <--- bytes to copy to output buffer5 u; F5 `2 m% a: v" C N7 d- F
7 W) ^/ |, I6 {- m: q. G
next in IofComplete request will be rep movsd at pointer, that is under attacker's control6 s. k( J" D* ^; i) |
. V% a) B+ i8 z6 j1 ~7 U d
Due the type of vulnerability (METHO_BUFFERED with output_size == 0) exploit works only on Winows XP/2k3, cause in later Windows OS I/O manager doesn't craft IRP if ioctl is METHOD_BUFFERED and output_size == 0.
7 a8 O2 \) Z0 K1 n% v
4 F& U7 Z0 V. `& C7 PSymantec表示在2月份的补丁包中修复该漏洞。$ M3 a5 c, r g- k1 x
/ l( o7 n' K3 i+ V9 m+ b" c# e
相关阅读：) W6 W3 }5 h1 z2 V) v, w' a; O- o( q
9 U5 j+ y; J! x, w; f# y8 v, [3 s* W赛门铁克的 PGP Whole Disk Encryption 为企业提供了全面的高性能完整磁盘加密功能，可对台式机、笔记本电脑和可移动介质上的所有数据（用户文件、交换文件、系统文件、隐藏文件等）进行完整磁盘加密。该完整磁盘加密软件可让数据免遭未经授权的访问，从而为知识产权、客户和合作伙伴数据提供强大的安全防护。受保护的系统可由 PGP Universal Server 集中管理，这就简化了部署、策略创建、分发和报告过程。
1 O$ V: f1 O5 i) N4 }4 B; i6 a
- S2 C ?9 @- ?4 q# S |
发表于 2013-1-11 21:11:47
收藏
支持
反对