搜索

[11327] 2017-05-09_漏洞预警Windows系统恶意软件防护引擎曝严重远程代码执行漏洞（CVE-2017-0290）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-05-09_漏洞预警Windows系统恶意软件防护引擎曝严重远程代码执行漏洞（CVE-2017-0290） 漏 洞 预 警   |   W i n d o w s 系 统 恶 意 软 件 防 护 引 擎 曝 严 重 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 7 - 0 2 9 0 ） 欧 阳 洋 葱   F r e e B u f   2 0 1 7 - 0 5 - 0 9 微 软 昨 天 发 布 了 安 全 公 告 — — 微 软 自 家 的 恶 意 程 序 防 护 引 擎 出 现 高 危 安 全 漏 洞 。 影 响 到 包 括 M S E 、 W i n d o w s   D e f e n d e r 防 火 墙 等 在 内 的 产 品 ， 危 害 性 还 是 相 当 严 重 的 。 微 软 当 前 已 经 提 供 了 升 级 以 修 复 漏 洞 ， 并 表 示 没 有 证 据 表 明 攻 击 者 已 经 利 用 该 漏 洞 。 漏 洞 编 号 ： 漏 洞 编 号 ： C V E - 2 0 1 7 - 0 2 9 0 漏 洞 危 害 程 度 ： 漏 洞 危 害 程 度 ： C r i t i c a l ， 严 重 漏 洞 概 述 ： 漏 洞 概 述 ： 简 单 说 来 ， 当 微 软 恶 意 程 序 防 护 引 擎 （ M i c r o s o f t   M a l w a r e   P r o t e c t i o n   E n g i n e ） 检 测 某 个 恶 意 构 造 的 文 件 后 ， 攻 击 者 就 能 利 用 漏 洞 实 现 远 程 代 码 执 行 。 成 功 利 用 该 漏 洞 ， 攻 击 者 就 能 在 L o c a l S y s t e m 帐 号 安 全 上 下 文 执 行 任 意 代 码 ， 并 控 制 系 统 。 攻 击 者 随 后 就 能 安 装 程 序 ； 查 看 、 更 改 或 删 除 数 据 ； 或 者 以 完 整 的 用 户 权 限 来 构 建 新 账 户 。 攻 击 者 实 际 上 有 很 多 种 方 法 让 微 软 的 恶 意 程 序 保 护 引 擎 扫 描 到 恶 意 构 建 的 文 件 ， 比 如 目 标 用 户 浏 览 某 个 网 站 的 时 候 就 能 分 发 恶 意 部 署 文 件 ， 或 者 通 过 邮 件 信 息 、 即 时 通 讯 消 息 — — 在 实 时 扫 描 开 启 的 情 况 下 ， 甚 至 不 需 要 用 户 打 开 这 些 文 件 ， 微 软 恶 意 程 序 防 护 引 擎 就 会 对 其 进 行 扫 描 。 影 响 范 围 ： 影 响 范 围 ： 很 多 微 软 的 反 恶 意 程 序 产 品 都 在 使 用 微 软 恶 意 程 序 防 护 引 擎 。 鉴 于 其 中 包 含 W i n d o w s   7 / 8 / 8 . 1 / 1 0 / S e r v e r   2 0 1 6 中 就 默 认 安 装 的 反 恶 意 程
序 产 品 ， 该 漏 洞 应 该 是 非 常 严 重 。 微 软 在 其 安 全 公 告 页 面 中 列 出 了 受 影 响 产 品 ， 包 括 ： M i c r o s o f t   F o r e f r o n t   E n d p o i n t   P r o t e c t i o n   2 0 1 0 M i c r o s o f t   E n d p o i n t   P r o t e c t i o n M i c r o s o f t   F o r e f r o n t   S e c u r i t y   f o r   S h a r e P o i n t   S e r v i c e   P a c k   3 M i c r o s o f t   S y s t e m   C e n t e r   E n d p o i n t   P r o t e c t i o n M i c r o s o f t   S e c u r i t y   E s s e n t i a l s W i n d o w s   D e f e n d e r   f o r   W i n d o w s   7 W i n d o w s   D e f e n d e r   f o r   W i n d o w s   8 . 1 W i n d o w s   D e f e n d e r   f o r   W i n d o w s   R T   8 . 1 W i n d o w s   D e f e n d e r   f o r   W i n d o w s   1 0 ,   W i n d o w s   1 0   1 5 1 1 ,   W i n d o w s   1 0   1 6 0 7 ,   W i n d o w s   S e r v e r   2 0 1 6 ,   W i n d o w s   1 0   1 7 0 3 W i n d o w s   I n t u n e   E n d p o i n t   P r o t e c t i o n 漏 洞 详 情 ： 漏 洞 详 情 ： 具 体 来 说 ， M s M p E n g 是 恶 意 程 序 防 护 服 务 ， W i n d o w s   8 / 8 . 1 / 1 0 / S e r v e r   2 0 1 2 等 都 默 认 启 用 。 M S E （ M i c r o s o f t   S e c u r i t y   E s s e n t i a l s ） 、 系 统 中 心 终 端 防 护 和 微 软 的 各 种 安 全 产 品 都 采 用 此 核 心 引 擎 。 M s M p E n g 以 A U T H O R I T Y S Y S T E M 权 限 运 行 ， 无 沙 盒 ， 通 过 W i n d o w s 服 务 （ 如 E x c h a n g e 、 I I S 等 ） 在 无 需 身 份 认 证 的 情 况 下 可 远 程 访 问 。 对 于 工 作 站 而 言 ， 攻 击 者 给 用 户 发 送 邮 件 （ 甚 至 不 需 要 阅 读 邮 件 或 打 开 附 件 ） 、 在 浏 览 器 中 访 问 链 接 、 使 用 即 时 通 讯 等 ， 就 能 访 问 m p e n g i n e （ M s M p E n g 用 于 扫 描 和 分 析 的 核 心 组 件 ） 。 因 为 M s M p E n g 采 用 文 件 系 统 m i n i f i l t e r 来 拦 截 以 及 检 查 所 有 的 文 件 系 统 活 动 ， 所 以 给 硬 盘 的 任 意 位 置 写 入 相 应 内 容 就 能 实 现 m p e n g i n e 中 函 数 的 访 问 。 鉴 于 其 高 权 限 、 可 访 问 及 普 遍 存 在 性 ， M s M p E n g 中 的 这 个 漏 洞 还 是 极 为 严 重 的 。 不 难 发 现 m p e n g i n e 本 身 就 是 个 很 大 的 攻 击 面 ， 其 中 包 含 很 多 专 门 的 文 件 格 式 、 可 执 行 封 装 包 、 c r y p t o r 、 完 整 系 统 模 拟 器 的 H a n d l e r ， 还 有 各 种 架 构 和 语 言 的 解 释 器 。 所 有 这 些 代 码 ， 远 程 攻 击 者 都 是 可 以 访 问 的 。 其 中 N S c r i p t 是 m p e n g i n e 的 一 个 组 件 ， 这 个 组 件 用 于 评 估 任 意 看 起 来 像 是 J S 的 文 件 系 统 或 网 络 活 动 。 值 得 一 提 的 是 ， 这 是 个 无 沙 盒 环 境 、 高 权 限 的 J a v a S c r i p t   i n t e r p r e t e r — — 用 于 评 估 不 受 信 任 的 代 码 。 谷 歌 的 研 究 人 员 写 了 个 工 具 ， 通 过 代 码 s h e l l 访 问 N S c r i p t 。 发 现 函 数 J s D e l e g a t e O b j e c t _ E r r o r : : t o S t r i n g ( ) 会 从 中 读 取 “ m e s s a g e ” 属 性 ， 但 在 传 递 给 J s R u n t i m e S t a t e : : t r i g g e r S h o r t S t r E v e n t ( ) 之 前 未 能 验 证 属 性 类 型 。 其 默 认 假 定 m e s s a g e 是 个 字 符 串 ， 但 实 际 上 可 以 是 任 意 类 型 。 这 就 能 够 让 攻 击 者 传 递 其 它 任 意 对 象 。 更 多 详 情 可 参 见 C h r o m i u m 。 其 中 也 提 供 了 漏 洞 再 现 的 方 法 。 若 要 再 现 该 漏 洞 ， 可 点 击 这 里 下 载 ： h t t p s : / / b u g s . c h r o m i u m . o r g / p / p r o j e c t - z e r o / i s s u e s / a t t a c h m e n t ? a i d = 2 8 3 4 0 5   。 访 问 包 含 下 述 代 码 的 网 站
后 ， 捕 捉 到 的 d e b u g 会 话 ：
值 得 一 提 的 是 ， 在 执 行 J S 之 前 ， m p e n g i n e 采 用 各 种 启 发 式 方 案 来 决 定 是 否 有 必 要 作 评 估 。 其 中 一 个 启 发 式 方 案 会 评 估 文 件 熵 — — 不 过 研 究 人 员 发 现 其 实 只 要 附 加 上 足 够 多 的 注 释 ， 也 就 能 够 触 发 所 谓 的 “ 评 估 ” 过 程 了 。 修 复 方 法 ： 修 复 方 法 ： 微 软 在 安 全 公 告 中 提 到 ， 终 端 用 户 和 企 业 管 理 员 不 需 要 进 行 额 外 的 操 作 ， 微 软 恶 意 程 序 引 擎 本 身 自 动 检 测 和 更 新 部 署 机 制 会 在 4 8 小 时 内 应 用 更 新 。 具 体 更 新 时 间 ， 视 所 用 软 件 、 互 联 网 连 接 和 基 建 配 置 而 定 。 *   参 考 来 源 ： C h r o m i u m ， 微 软 安 全 公 告 ， F r e e B u f 官 方 出 品 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理