搜索

[28556] 2020-09-04_开源库中的漏洞发现：分析CVE-2020-11863

文档创建者：s7ckTeam
浏览次数：64
最后更新：2025-01-19
2020-09-04_开源库中的漏洞发现：分析CVE-2020-11863 开 源 库 中 的 漏 洞 发 现 ： 分 析 C V E - 2 0 2 0 - 1 1 8 6 3 O t s 安 全   2 0 2 0 - 0 9 - 0 4 开 源 项 目 是 任 何 软 件 开 发 过 程 的 基 础 。 正 如 我 们 在 之 前 的 博 客 中 指 出 的 那 样 ， 随 着 越 来 越 多 的 产 品 使 用 开 放 源 代 码 ， 整 体 攻 击 面 的 增 长 是 不 可 避 免 的 ， 尤 其 是 当 开 放 源 代 码 在 使 用 前 未 经 审 核 时 。 因 此 ， 建 议 彻 底 测 试 它 的 潜 在 漏 洞 ， 并 与 开 发 人 员 合 作 修 复 它 们 ， 最 终 缓 解 攻 击 。 我 们 还 指 出 ， 我 们 正 在 研 究 W i n d o w s 和 L i n u x 中 的 图 形 库 ， 并 报 告 W i n d o w s   G D I 和 L i n u x 矢 量 图 形 库 l i b E M F 中 的 多 个 漏 洞 。 我 们 仍 在 审 核 许 多 其 他 L i n u x 图 形 库 ， 因 为 它 们 是 旧 代 码 ， 以 前 没 有 经 过 严 格 的 测 试 。 在 本 博 客 系 列 的 第 1 部 分 中 ， 我 们 通 过 概 述 l i b E M F 库 中 报 告 的 漏 洞 ， 详 细 描 述 了 开 源 研 究 的 重 要 性 。 我 们 还 强 调 了 使 用 内 存 清 理 器 编 译 代 码 的 重 要 性 以 及 它 如 何 帮 助 检 测 各 种 内 存 损 坏 错 误 。 总 而 言 之 ， 地 址 清 理 器 （ A S A N ） 截 取 了 诸 如 m a l l o c （ ） /   f r e e （ ） 之 类 的 内 存 分 配 / 释 放 函 数 ， 并 使 用 各 自 的 填 充 字 节 （ m a l l o c _ f i l l _ b y t e   / f r e e _ f i l l _ b y t e ） 填 充 了 内 存 。 它 还 监 视 对 这 些 内 存 位 置 的 读 取 和 写 入 ， 从 而 帮 助 检 测 运 行 时 的 错 误 访 问 。 在 此 博 客 中 ， 我 们 对 报 告 的 漏 洞 之 一 C V E - 2 0 2 0 - 1 1 8 6 3 进 行 了 更 详 细 的 分 析 ， 该 漏 洞 是 由 于 使 用 了 未 初 始 化 的 内 存 而 引 起 的 。 此 漏 洞 与 C V E - 2 0 2 0 - 1 1 8 6 5 有 关 ， C V E - 2 0 2 0 - 1 1 8 6 5 是 l i b E M F 中 G l o b a l O b j e c t   : :   F i n d （ ） 函 数 中 的 全 局 对 象 向 量 ， 超 出 了 内 存 访 问 范 围 。 但 是 ， 崩 溃 调 用 堆 栈 原 来 是 不 同 的 ， 这 就 是 为 什 么 我 们 决 定 进 一 步 研 究 这 一 问 题 并 制 作 此 深 入 探 讨 博 客 的 原 因 。 A S A N 提 供 的 信 息 足 以 在 模 糊 器 外 部 重 现 漏 洞 崩 溃 。 从 A S A N 信 息 来 看 ， 该 漏 洞 似 乎 是 空 指 针 取 消 引 用 ， 但 这 不 是 实 际 的 根 本 原 因 ， 正 如 我 们 将 在 下 面 讨 论 的 那 样 。 查 看 调 用 堆 栈 ， 看 来 应 用 程 序 在 动 态 转 换 对 象 时 崩 溃 了 ， 这 可 能 有 多 种 原 因 。 在 似 乎 可 能 的 那 些 可 能 原 因 中 ， 应 用 程 序 试 图 访 问 不 存 在 的 虚 拟 表 指 针 ， 或 者 从 函 数 返 回 的 对 象 地 址 是 应 用 程 序 崩 溃 时 访 问 的 通 配 地 址 。 获 取 有 关 此 崩 溃 的 更 多 上 下 文 ， 我 们 在 调 试 时 遇 到 了 一 个 有 趣 的 寄 存 器 值 。 下 面 显 示 了 反 汇 编 中 的 崩 溃 点 ， 指 示 不 存 在 内 存 访 问 。 如 果 我 们 在 崩 溃 点 查 看 寄 存 器 的 状 态 ， 则 特 别 有 趣 的 是 注 意 到 寄 存 器 r d i 的 异 常 值 是 0 x b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e 我 们 想 更 深 入 地 研 究 一 下 该 值 如 何 进 入 寄 存 器 ， 从 而 实 现 对 野 生 内 存 的 访 问 。 由 于 有 了 库 的 源 代 码 ， 我 们 可 以 立 即 检 查 该 寄 存 器 在 访 问 内 存 中 对 象 方 面 的 含 义 。 参 考 A d d r e s s   S a n i t i z e r 文 档 ， 事 实 证 明 A S A N   默 认 情 况 下 会 将 0 x b e 写 入 新 分 配 的 内 存 ， 这 实 际 上 意 味 着 已 写 入 此 6 4 位 值 ， 但 未 初 始 化 内 存 。 A S A N 将 此 称 为 m a l l o c _ f i l l _ b y t e 。 它 也 通 过 在 释 放 内 存 时 用 f r e e _ f i l l _ b y t e 填 充 内 存 来 实 现 相 同 的 目 的 。 这 最 终 有 助 于 识 别 内 存 访 问 错 误 。
这 种 性 质 也 可 以 在 l i b s a n i t i z e r 源 验 证 这 里 。 下 面 是 源 文 件 的 摘 录 。 查 看 崩 溃 点 处 的 堆 栈 跟 踪 ， 如 下 所 示 ， 崩 溃 发 生 在 S e l e c t O b j e c t （ ） 函 数 中 。 该 部 分 代 码 负 责 处 理 增 强 型 元 文 件 （ E M F ） 文 件 的 E M R _ S E L E C T O B J E C T 记 录 结 构 ， 传 递 给 该 函 数 的 图 形 对 象 句 柄 为 0 x 8 0 0 0 0 0 1 8 。 我 们 想 研 究 代 码 流 ， 以 检 查 这 是 否 直 接 来 自 输 入 E M F 文 件 ， 并 且 可 以 由 攻 击 者 控 制 。 在 S e l e c t O b j e c t （ ） 函 数 中 ， 在 处 理 E M R _ S E L E C T O B J E C T 记 录 结 构 时 ， 将 G D I 对 象 的 句 柄 传 递 到 G l o b a l O b j e c t s . f i n d （ ） ， 如 上 面 的 代 码 片 段 所 示 ， 该 代 码 片 段 又 通 过 掩 盖 较 高 的 顺 序 来 访 问 全 局 库 存 对 象 向 量 G D I 对 象 句 柄 中 的 第 1 位 并 将 其 转 换 为 索 引 ， 最 终 使 用 转 换 后 的 索 引 号 从 对 象 向 量 返 回 库 存 对 象 参 考 。 库 存 对 象 枚 举 指 定 可 以 在 M S 文 档 中 记 录 的 图 形 操 作 中 使 用 的 预 定 义 逻 辑 图 形 对 象 的 索 引 。 例 如 ， 如 果 对 象 句 柄 为 0 x 8 0 0 0 0 1 8 ， 则 将 其 与 0 x 7 F F F F F F F 进 行 “ 与 ” 运 算 ， 得 出 0 x 1 8 ， 它 将 用 作 全 局 库 存 对 象 向 量 的 索 引 。 然 后 ， 将 这 个 库 存 对 象 引 用 动 态 地 转 换 为 图 形 对 象 ， 然 后 调 用 E M F   : :   G R A P H I C S O B J E C T 成 员 函 数 g e t T y p e （ ） 确 定 图 形 对 象 的 类 型 ， 然 后 ， 在 此 函 数 的 后 面 ， 将 其 再 次 转 换 为 合 适 的 图 形 对 象 （ 画 笔 ， 笔 ， 字 体 ， 调 色 板 ， 扩 展 名 ） ， 如 下 面 的 代 码 片 段 所 示 。 E M F   : :   G R A P H I C S O B J E C T 是 从 E M F   : :   O B J E C T 派 生 的 类 ， 并 且 E M F   : :   O B J E C T 类 的 继 承 图 如 下 所 示 。 但 是 ， 如 前 所 述 ， 我 们 很 想 知 道 作 为 参 数 传 递 给 S e l e c t O b j e c t 函 数 的 对 象 句 柄 是 否 可 以 由 攻 击 者 控 制 。 为 了 获 得 相 关 信 息 ， 让 我 们 看 一 下 E M R _ S E L E C T O B J E C T 记 录 的 格 式 ， 如 下 所 示 。
在 这 里 ， 对 象 句 柄 0 x 8 0 0 0 0 0 1 8 表 示 索 引 0 x 1 8 将 用 于 访 问 全 局 库 存 对 象 向 量 。 如 果 在 此 期 间 对 象 向 量 的 长 度 小 于 0 x 1 8 ， 并 且 在 访 问 对 象 向 量 之 前 未 进 行 长 度 检 查 ， 则 将 导 致 超 出 范 围 的 内 存 访 问 。 下 面 是 处 理 E M R _ S E L E C T O B J E C T 图 元 文 件 记 录 的 直 观 表 示 。 在 调 试 此 问 题 时 ， 我 们 在 G l o b a l O b j e c t s . f i n d （ ） 处 启 用 了 一 个 断 点 ， 并 继 续 操 作 ， 直 到 获 得 对 象 句 柄 0 x 8 0 0 0 0 0 1 8 ;   本 质 上 ， 我 们 到 达 了 上 面 突 出 显 示 的 E M R _ S E L E C T O B J E C T 记 录 的 处 理 点 。 如 下 所 示 ， 对 象 句 柄 被 转 换 为 索 引 （ 0 x 1 8   =   2 4 ） 以 访 问 大 小 为 （ 0 x 1 6   =   2 2 ） 的 对 象 向 量 ， 从 而 导 致 了 超 出 范 围 的 访 问 ， 我 们 将 其 报 告 为 C V E - 2 0 2 0 - 1 1 8 6 5 。
进 一 步 进 入 代 码 ， 它 进 入 S T L 矢 量 库 s t l _ v e c t o r . h ， 该 库 实 现 s t d   : :   v e c t o r s 的 动 态 扩 展 。 由 于 此 时 的 对 象 向 量 只 有 2 2 个 元 素 ， 因 此 S T L 向 量 会 将 向 量 扩 展 为 突 出 显 示 的 参 数 所 指 示 的 大 小 ， 并 通 过 传 递 的 索 引 访 问 向 量 ， 并 返 回 该 对 象 引 用 处 的 值 ， 如 下 面 的 代 码 段 ， 被 A S A N 填 充 为 0 x b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e b e 该 代 码 使 用 s t d ： a l l o c a t o r 来 管 理 主 要 用 于 内 存 分 配 和 释 放 的 向 量 内 存 。 通 过 进 一 步 分 析 ， 可 以 发 现 在 这 种 情 况 下 返 回 的 值 0 x b e b e b e b e b e b e b e b e b e b e 不 存 在 是 库 存 对 象 的 虚 拟 指 针 ， 该 对 象 在 动 态 转 换 期 间 被 取 消 引 用 ， 从 而 导 致 崩 溃 。 如 我 们 先 前 的 博 客 所 述 ， 对 该 库 的 修 复 已 在 后 续 版 本 中 发 布 ， 可 在 此 处 获 得 ： h t t p s : / / s o u r c e f o r g e . n e t / p r o j e c t s / l i b e m f / 。 结 论 结 论 虽 然 在 产 品 中 使 用 第 三 方 代 码 肯 定 可 以 节 省 时 间 并 提 高 开 发 速 度 ， 但 潜 在 地 ， 漏 洞 数 量 也 会 随 之 增 加 ， 尤 其 是 当 代 码 未 经 审 核 并 未 经 任 何 测 试 集 成 到 产 品 中 时 。 对 使 用 的 开 放 源 代 码 库 进 行 模 糊 测 试 非 常 关 键 ， 这 可 以 帮 助 发 现 开 发 周 期 中 的 漏 洞 ， 并 提 供 在 产 品 交 付 之 前 对 其 进 行 修 复 的 机 会 ， 从 而 减 轻 了 攻 击 。 但 是 ， 正 如 我 们 在 之 前 的 博 客 中 强 调 的 那 样 ， 至 关 重 要 的 是 ， 必 须 加 强 漏 洞 研 究 人 员 与 开 放 源 代 码 社 区 之 间 的 协 作 ， 以 继 续 负 责 任 的 披 露 ， 使 代 码 的 维 护 者 能 够 及 时 解 决 这 些 问 题 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理