搜索

[8585] 2015-01-13_苹果OSXYosemite系统曝多个本地提权漏洞

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-17
2015-01-13_苹果OSXYosemite系统曝多个本地提权漏洞 苹 果 O S   X   Y o s e m i t e 系 统 曝 多 个 本 地 提 权 漏 洞 F r e e B u f   2 0 1 5 - 0 1 - 1 3 国 外 安 全 研 究 人 员 近 日 曝 光 最 新 版 国 外 安 全 研 究 人 员 近 日 曝 光 最 新 版 M a c   O S X   1 0 . 1 0 . 1 系 统 上 存 在 多 处 本 地 提 权 漏 洞 ， 由 于 提 交 到 苹 果 官 方 时 间 太 久 都 系 统 上 存 在 多 处 本 地 提 权 漏 洞 ， 由 于 提 交 到 苹 果 官 方 时 间 太 久 都 过 未 得 到 明 确 答 复 ， 导 致 研 究 者 直 接 公 布 漏 洞 细 节 以 及 利 用 代 码 。 过 未 得 到 明 确 答 复 ， 导 致 研 究 者 直 接 公 布 漏 洞 细 节 以 及 利 用 代 码 。 基 于 之 前 已 发 现 的 问 题 启 发 ， 我 们 又 对 M a c   O S   X 上 最 新 的   I O B l u e t o o t h H C I C o n t r o l l e r 服 务 进 行 了 一 些 测 试 ， 功 夫 不 负 有 心 人 ， 我 们 又 发 现 了 5 个 安 全 问 题 。 这 些 问 题 已 经 在 苹 果 公 司 的 安 全 报 告 平 台 上 报 告 过 ， 但 由 于 苹 果 官 方 过 长 时 间 未 给 予 明 确 答 复 ， 所 以 我 们 公 布 了 其 中 的 4 个 漏 洞 的 细 节 和 P o C （ 另 外 一 个 苹 果 公 司 还 在 审 查 中 ） 。 这 5 个 问 题 都 出 现 在 " I O B l u e t o o t h H C I C o n t r o l l e r " 上 ， 可 在 I O B l u e t o o t h F a m i l y 内 核 扩 展 中 应 用 （ m d 5 e 4 1 2 3 c a f f 1 b 9 0 b 8 1 d 5 2 d 4 3 f 9 c 4 7 f e c 8 f ） 。 问 题 问 题 1 许 多 由 " I O B l u e t o o t h H C I C o n t r o l l e r "   处 理 的 回 调 函 数 不 经 检 查 就 盲 目 的 解 引 用 指 针 参 数 。 这 些 回 调 函 数 的 调 用 者 " I O B l u e t o o t h H C I U s e r C l i e n t : : S i m p l e D i s p a t c h W L ( ) " 可 以 通 过 空 指 针 致 使 其 最 终 被 解 引 用 。 具 体 的 说 就 是 ， " S i m p l e D i s p a t c h W L ( )   " 处 理 的 每 一 个 u s e r - s p a c e 参 数 都 包 含 一 个 数 值 和 大 小 字 段 。 当 一 个 u s e r - s p a c e 客 户 端 对 一 个 N U L L 指 针 的 参 数 提 供 了 一 个 很 大 的 值 时 ， 就 会 导 致 " I O M a l l o c ( s i z e ) " 调 用 失 败 ， 然 后 返 回 到 空 指 针 ， 最 终 导 致 空 指 针 解 引 用 。 针 对 " i s p a t c h H C I C r e a t e C o n n e c t i o n ( ) " 的 方 法 我 们 提 供 了 P o C ， 但 是 使 用 其 他 的 调 用 函 数 又 会 使 内 核 死 机 （ 通 常 其 他 的 调 用 函 数 会 接 收 多 个 指 标 参 数 ） 。 首 先 我 们 排 除 了 这 个 漏 洞 仅 仅 是 一 个 本 地 D o S 。 然 而 Y o s e m i t e 只 能 部 分 阻 止 从 用 户 空 间 向 N U L L 指 针 的 映 射 ， 因 此 仍 然 有 可 能 利 用 解 除 的 空 指 标 发 动 本 地 提 权 攻 击 ， 下 面 是 部 分 代 码 ：
问 题 问 题 2 由 于 一 个 b c o p y （ s r c ,   d e s t ,   s t r l e n ( s r c ) ） 的 调 用 （ s r c 完 全 由 攻 击 者 掌 控 ） ， " I O B l u e t o o t h H C I C o n t r o l l e r : : B l u e t o o t h H C I C h a n g e L o c a l N a m e ( ) " 受 以 前 的 缓 冲 区 溢 出 漏 洞 影 响 。 因 现 存 的 C a n a r y 栈 堆 的 保 护 ， 该 漏 洞 不 可 能 被 直 接 利 用 。 但 是 ， 如 果 它 和 内 存 泄 露 漏 洞 结 合 使 用 的 话 ， 仍 然 可 以 发 动 本 地 提 权 攻 击 。 问 题 问 题 3 ： ： " I O B l u e t o o t h H C I C o n t r o l l e r : : T r a n s f e r A C L P a c k e t T o H W ( ) " 被 作 为 一 个 输 入 参 数 来 接 收 一 个 指 针 指 向 " I O M e m o r y D e s c r i p t o r " 。 经 过 仔 细 检 查 发 现 该 函 数 所 提 供 的 指 针 是 非 空 的 。 然 而 ， 不 论 这 次 测 试 的 结 果 如 何 ， 这 个 指 针 仍 然 会 被 解 引 用 。 （ 如 下 图 所 示 ， 攻 击 者 将 输 入 参 数 存 储 在 寄 存 器 的 r 1 5 中 ） 当 调 用 " D i s p a t c h H C I S e n d R a w A C L D a t a ( ) " 并 使 用 构 造 函 数 " I O M e m o r y D e s c r i p t o r : : w i t h A d d r e s s ( ) " 来 创 建 " I O M e m o r y D e s c r i p t o r " 时 ， 由 于 该 构 造 函 数 包 含 一 个 用 户 控 制 值 ， 可 能 会 导 致 失 败 并 返 回 一 个 空 的 指 针 。 该 空 指 针 如 何 利 用 在 问 题 1 中 有 过 说 明 。
问 题 问 题 4 ： ： 该 问 题 是 由 于 对 以 下 函 数 中 的 参 数 没 有 进 行 完 整 清 晰 的 检 查 所 造 成 的 ： 第 一 个 参 数 r e q _ i n d e x 被 用 来 在 人 机 交 互 请 求 的 队 列 中 查 找 某 人 机 交 互 请 求 （ 因 此 利 用 时 需 要 用 假 请 求 填 满 该 队 列 ） 。 第 二 个 整 数 参 数 " ( n u m _ o f _ k e y s ) " 被 用 来 去 计 算 其 他 输 入 的 总 大 小 ， 分 别 指 向 " p _ d e v i c e _ a d d r e s s e s " 和 " p _ b l u e t o o t h _ k e y s " ， 如 下 图 所 示 ， 这 个 值 并 没 有 在 传 到 函 数 " I O B l u e t o o t h H C I C o n t r o l l e r : : S e n d H C I R e q u e s t F o r m a t t e d ( ) " 之 前 经 过 检 查 。 原 型 如 下 ：
传 递 的 格 式 字 符 串 " H b b N N " 最 终 会 将 s i z e _ o f _ a d d r e s s e s 由 " p _ d e v i c e _ a d d r e s s e s " 倒 序 复 制 到 o u t R e s u l t B u f ， 该 指 针 将 可 以 被 攻 击 者 控 制 的 值 在 返 回 用 户 空 间 前 进 行 重 写 和 访 问 ， 因 此 我 们 可 以 在 这 里 进 行 漏 洞 利 用 。 我 们 提 供 的 P o C " l p e - i s s u e 1 . c " 可 以 利 用 这 个 B u g 调 用 位 于 控 制 器 0 x 4 1 4 1 4 1 4 1 4 2 4 2 4 2 4 2 地 址 的 一 个 函 数 。 由 于 多 个 v t a b l e 指 针 是 损 坏 的 ， 所 以 如 果 想 要 它 清 晰 的 返 回 u s e r - s p a c e 可 能 需 要 对 P o c 进 行 多 次 调 试 。 （ 我 们 所 采 用 的 P o c 都 并 不 包 含 真 正 的 负 载 ， 我 们 也 并 没 有 试 图 绕 过 Y o s e m i t e 现 有 的 安 全 功 能 。 ） 总 结 总 结 随 着 最 后 一 个 问 题 被 确 认 ， 我 们 将 依 据 我 们 所 发 现 的 问 题 与 苹 果 公 司 分 享 关 于 随 着 最 后 一 个 问 题 被 确 认 ， 我 们 将 依 据 我 们 所 发 现 的 问 题 与 苹 果 公 司 分 享 关 于 K x e t 的 一 些 结 论 ， 我 们 推 测 仍 然 有 许 的 一 些 结 论 ， 我 们 推 测 仍 然 有 许 多 其 他 的 导 致 崩 溃 问 题 或 者 本 地 提 权 漏 洞 存 在 。 我 们 只 是 通 过 业 余 的 时 间 进 行 了 一 次 很 好 的 分 析 ， 考 虑 到 我 们 所 付 多 其 他 的 导 致 崩 溃 问 题 或 者 本 地 提 权 漏 洞 存 在 。 我 们 只 是 通 过 业 余 的 时 间 进 行 了 一 次 很 好 的 分 析 ， 考 虑 到 我 们 所 付 出 的 努 力 程 度 ， 我 们 认 为 应 该 对 出 的 努 力 程 度 ， 我 们 认 为 应 该 对 K e x t 代 码 进 行 一 次 完 整 的 安 全 评 估 。 代 码 进 行 一 次 完 整 的 安 全 评 估 。 [ 参 考 来 源 参 考 来 源 r a n d o m t h o u g h t s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理