搜索

[16317] 2021-01-14_ZDI总结全年最重要的五个漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-01-14_ZDI总结全年最重要的五个漏洞 Z D I 总 结 全 年 最 重 要 的 五 个 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 1 - 1 4 写 在 前 面 的 话 写 在 前 面 的 话 在 这 一 年 即 将 结 束 之 际 ， 我 们 在 此 回 顾 一 下 我 们 在 2 0 2 0 年 收 到 的 一 些 最 有 意 思 的 漏 洞 报 告 。 毫 无 疑 问 ， 将 今 年 已 报 告 的 1 4 0 0 多 个 漏 洞 缩 减 为 只 有 5 个 ， 这 绝 对 是 一 个 相 当 大 的 挑 战 。 在 这 篇 文 章 中 ， 我 们 所 分 析 的 这 5 个 安 全 漏 洞 是 从 这 1 4 0 0 多 个 漏 洞 中 脱 颖 而 出 的 ， 接 下 来 ， 我 们 一 起 看 看 到 底 是 哪 五 个 漏 洞 杀 出 了 重 围 。 C V E - 2 0 2 0 - 0 6 8 8 / Z D I - 2 0 - 2 5 8 C V E - 2 0 2 0 - 0 6 8 8 / Z D I - 2 0 - 2 5 8 ： M i c r o s o f t   E x c h a n g e   S e r v e r 的 E x c h a n g e 控 制 面 板 加 密 密 钥 远 程 代 码 执 行 漏 洞 这 个 漏 洞 是 M i c r o s o f t   E x c h a n g e   S e r v e r 的 E x c h a n g e 控 制 面 板 中 存 在 的 一 个 加 密 密 钥 远 程 代 码 执 行 漏 洞 。 该 漏 洞 是 由 一 位 匿 名 安 全 研 究 专 家 上 报 的 ， M i c r o s o f t   E x c h a n g e   S e r v e r 中 的 这 个 高 度 严 重 的 漏 洞 将 允 许 任 何 经 过 身 份 验 证 的 E x c h a n g e 用 户 获 得 服 务 器 上 的 S Y S T E M 权 限 。 该 漏 洞 位 于 E x c h a n g e 管 理 中 心 W e b 界 面 中 ， 即 虽 然 这 个 W e b 界 面 被 称 为 “ 管 理 ” 界 面 ， 但 在 默 认 情 况 下 ， 任 何 拥 有 E x c h a n g e 服 务 器 上 邮 箱 凭 据 的 或 者 可 以 在 网 络 上 公 开 访 问 O u t l o o k   W e b A c c e s s 的 用 户 都 可 以 使 用 该 界 面 。 漏 洞 与 E x c h a n g e 管 理 中 心 （ A S P . N E T 应 用 程 序 ） 中 安 装 的 加 密 密 钥 （ “ 计 算 机 密 钥 ” ） 有 关 ， x c h a n g e 应 该 在 安 装 时 随 机 生 成 这 些 密 钥 ， 以 便 实 现 保 持 对 每 个 安 装 的 机 密 性 和 唯 一 性 。 但 是 现 在 ， 它 们 却 是 从 安 装 介 质 中 逐 字 复 制 的 ， 因 此 外 部 攻 击 者 可 以 通 过 引 用 产 品 的 任 何 其 他 安 装 源 来 获 取 到 这 些 密 钥 。 攻 击 者 可 以 利 用 获 取 到 的 密 钥 信 息 伪 造 出 将 在 服 务 器 上 反 序 列 化 的 消 息 ， 从 而 实 现 任 意 代 码 的 执 行 。 E x c h a n g e 服 务 器 中 的 这 个 漏 洞 非 常 严 重 ， 因 为 E x c h a n g e 一 般 都 扮 演 着 企 业 神 经 中 枢 的 角 色 ， 这 使 得 该 漏 洞 成 为 了 网 络 犯 罪 分 子 眼 中 一 个 非 常 有 价 值 的 目 标 。 如 果 您 的 组 织 目 前 还 没 有 修 复 该 漏 洞 的 话 ， 我 们 建 议 大 家 尽 快 修 复 。 参 考 资 料 ：
h t t p s : / / w w w . z e r o d a y i n i t i a t i v e . c o m / b l o g / 2 0 2 0 / 2 / 2 4 / c v e - 2 0 2 0 - 0 6 8 8 - r e m o t e - c o d e - e x e c u t i o n - o n - m i c r o s o f t - e x c h a n g e - s e r v e r - t h r o u g h - f i x e d - c r y p t o g r a p h i c - k e y s C V E - 2 0 2 0 - 3 9 9 2 / Z D I - 2 0 - 1 3 7 7 C V E - 2 0 2 0 - 3 9 9 2 / Z D I - 2 0 - 1 3 7 7 ： V M w a r e   E S X i   S L P 用 后 释 放 远 程 代 码 执 行 漏 洞 这 个 漏 洞 是 由 Z D I 漏 洞 研 究 人 员 L u c a s   L e o n g 发 现 的 ， E S X i 是 由 V M W a r e 开 发 的 企 业 级 管 理 程 序 ， E S X i 中 默 认 启 用 的 协 议 之 一 是 服 务 位 置 协 议 （ S L P ） 。 S L P 是 一 种 使 客 户 端 能 够 发 现 网 络 服 务 的 协 议 ， 目 前 最 流 行 的 S L P 实 现 就 是 O p e n S L P 了 。 然 而 ， L u c a s 发 现 E S X i 使 用 的 是 他 们 自 己 的 定 制 实 现 方 式 。 重 要 的 是 ， 这 个 自 定 义 实 现 中 存 在 设 计 缺 陷 ， 从 而 导 致 了 两 个 严 重 的 安 全 问 题 出 现 。 其 中 一 个 安 全 问 题 将 导 致 程 序 在 S L P D P r o c e s s M e s s a g e （ ） 中 释 放 S L P M e s s a g e 对 象 ， 但 是 该 程 序 仍 会 在 S L P D a t a b a s e 结 构 中 保 留 对 已 释 放 对 象 的 引 用 。 这 也 就 导 致 了 用 后 释 放 （ U A F ） 的 情 况 出 现 ， 而 远 程 攻 击 者 将 能 够 通 过 网 络 来 触 发 并 利 用 该 漏 洞 。 这 个 漏 洞 最 初 被 标 记 为 了 Z D I - C A N - 1 1 5 6 3 。 但 是 ， V M W a r e 所 提 供 的 安 全 补 丁 并 没 有 完 全 解 决 这 个 问 题 ， 这 便 导 致 了 Z D I - C A N - 1 2 1 9 0 的 出 现 。 应 该 注 意 的 是 ， 除 了 可 以 远 程 利 用 之 外 ， 这 些 S L P 问 题 还 可 以 被 攻 击 者 利 用 来 帮 助 在 受 限 环 境 中 运 行 的 程 序 实 现 沙 箱 逃 逸 。 这 也 足 以 证 明 ， 即 使 是 经 过 大 量 研 究 的 产 品 ， 比 如 说 E S X i ， 也 有 可 能 存 在 严 重 的 攻 击 面 ， 这 些 攻 击 面 往 往 容 易 被 忽 视 ， 因 此 存 在 较 严 重 的 安 全 风 险 。 C V E - 2 0 2 0 - 9 8 5 0 / Z D I - 2 0 - 6 7 2 C V E - 2 0 2 0 - 9 8 5 0 / Z D I - 2 0 - 6 7 2 ： A p p l e   S a f a r i   J I T 模 式 下 的 类 型 混 淆 远 程 代 码 执 行 漏 洞 这 个 漏 洞 是 由 乔 治 亚 理 工 系 统 软 件 与 安 全 实 验 室 的 团 队 在 春 季 P w n 2 O w n 竞 赛 中 报 告 的 ， 该 漏 洞 同 时 也 是 一 条 有 趣 漏 洞
利 用 链 （ 与 W e b k i t 的 类 型 混 淆 问 题 有 关 ） 的 一 部 分 。 由 于 这 个 漏 洞 ， S a f a r i 将 具 备 执 行 “ . a p p ” 符 号 链 接 的 能 力 ， 这 是 由 O p e n G L 的 C V M （ 核 心 虚 拟 机 ） 中 的 堆 溢 出 漏 洞 所 导 致 的 。 此 外 ， 由 于 竞 争 条 件 的 存 在 ， 将 有 可 能 在 c f p r e f s d 和 k e x t l o a d 中 实 现 r o o t 访 问 或 权 限 提 升 。 研 究 人 员 在 P w n 2 O w n 上 成 功 演 示 了 该 漏 洞 ， 并 赢 得 了 七 万 美 金 的 漏 洞 奖 励 。 这 个 漏 洞 的 利 用 场 景 比 较 可 怕 ， 因 为 当 一 个 毫 无 防 备 的 受 害 者 在 访 问 一 个 简 单 的 网 页 时 ， 这 一 切 他 都 是 毫 不 知 情 ， 因 为 浏 览 网 页 1 0 秒 后 ， 恶 意 代 码 将 会 在 目 标 用 户 的 设 备 上 运 行 ， 一 切 都 是 在 后 台 悄 悄 完 成 的 。 C V E - 2 0 2 0 - 7 4 6 0 / Z D I - 2 0 - 9 4 9 C V E - 2 0 2 0 - 7 4 6 0 / Z D I - 2 0 - 9 4 9 ： F r e e B S D 内 核 s e n d m s g 系 统 调 用 T O C T U 权 限 提 升 漏 洞 这 个 漏 洞 是 由 一 个 名 叫 m 0 0 n b s d 的 研 究 人 员 报 告 给 Z D I 的 。 该 漏 洞 允 许 攻 击 者 利 用 3 2 位 s e n d m s g （ ） 系 统 调 用 中 存 在 的 T O C T U 漏 洞 ， 以 初 始 为 非 特 权 的 用 户 身 份 在 F r e e B S D 上 执 行 内 核 级 代 码 。 该 漏 洞 是 系 统 调 用 中 的 一 个 双 重 获 取 漏 洞 ， 为 了 触 发 溢 出 ， 用 户 必 须 必 须 在 第 一 次 访 问 和 第 二 次 访 问 之 间 用 更 大 的 值 替 换 其 中 一 个 M s g L e n 值 。 攻 击 者 可 以 通 过 在 循 环 中 生 成 一 个 调 用 s e n d m s g （ ） 的 线 程 来 触 发 该 漏 洞 ， 并 为 其 提 供 正 确 的 参 数 。 然 后 ， 它 们 可 以 生 成 另 一 个 线 程 ， 用 一 个 巨 大 的 值 替 换 其 中 一 个 M s g L e n ， 然 后 将 正 确 的 值 放 回 一 个 循 环 中 。 接 下 来 ， 等 待 两 个 线 程 争 用 这 个 资 源 ， 便 会 触 发 溢 出 。 令 人 惊 讶 的 是 ， 这 个 漏 洞 隐 藏 得 并 不 深 ， 但 这 么 多 年 来 却 没 人 发 现 它 。 C V E - 2 0 2 0 - 1 7 0 5 7 / Z D I - 2 0 - 1 3 7 1 C V E - 2 0 2 0 - 1 7 0 5 7 / Z D I - 2 0 - 1 3 7 1 ： M i c r o s o f t   W i n d o w s   D i r e c t C o m p o s i t i o n 未 初 始 化 的 指 针 权 限 提 升 漏 洞
一 位 匿 名 研 究 员 向 Z D I 报 告 了 这 个 漏 洞 。 这 个 漏 洞 存 在 于 W i n d o w s   D i r e c t C o m p o s i t i o n 内 核 模 式 图 形 组 件 之 中 ， w i n 3 2 k b a s e ! D i r e c t C o m p o s i t i o n : : C I n t e r a c t i o n T r a c k e r M a r s h a l e r : : S e t B u f f e r P r o p e r t y 函 数 基 于 从 用 户 模 式 传 递 的 数 据 填 充 D i r e c t C o m p o s i t i o n : ： C I n t e r a c t i o n T r a c k e r M a r s h a l e r 类 型 的 对 象 。 如 果 此 函 数 遇 到 无 效 数 据 ， 它 将 切 换 到 一 条 错 误 路 径 ， 该 路 径 将 尝 试 释 放 函 数 已 创 建 并 存 储 在 对 象 中 的 资 源 。 由 于 此 错 误 路 径 中 存 在 安 全 问 题 ， 可 能 会 影 响 函 数 释 放 从 未 初 始 化 的 指 针 。 这 使 攻 击 者 能 够 在 内 核 模 式 下 控 制 指 令 指 针 ， 从 而 获 得 S Y S T E M 权 限 。 总 结 总 结 我 们 回 顾 了 今 年 提 交 给 Z D I 项 目 的 一 些 最 佳 漏 洞 ， 多 年 来 ， 许 多 事 情 都 发 生 了 变 化 ， 但 我 们 与 来 自 全 球 各 地 的 独 立 安 全 研 究 人 员 合 作 的 愿 望 从 未 动 摇 过 。 如 果 您 已 经 参 与 到 了 我 们 的 计 划 之 中 ， 我 们 感 谢 您 的 辛 勤 工 作 和 参 与 。 如 果 您 还 没 有 提 交 计 划 ， 我 们 希 望 您 将 来 考 虑 提 交 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理