December végén a Microsoft kutatói a nyilvánosságra hozott IIS FTP szolgáltatással kapcsolatos exploitra úgy reagáltak, hogy nem jelent nagy fenyegetést, mert kihasználása legrosszabb esetben is csak az alkalmazás összeomlásához vezethet.
Az Accuvant Labs biztonsági cég két fehér kalapos hackere Chris Valasek és Ryan Smith nyilvánosságra hozott néhány pillanatképet arról, hogy az említett sérülékenységet kihasználva probléma nélkül hozzáfértek olyan memóriaterülethez, amely elvileg védelem alatt állt. Így egy támadó akár tetszőleges kód futtatási lehetőséget is szerezhet. Ezzel a sikeres demonstrációval egyértelművé vált, hogy az IIS 0-day hibája jóval komolyabb és veszélyesebb, mint ahogy azt a Microsoft belső elemzése során kategorizálta.
A történet lényege azonban nem az, hogy a Microsoft rosszul ítélte meg egy bug kihasználhatóságát. Az Accuvant Labs kutatói is ugyanis egy eddig nem látott módszert dolgoztak ki a Windows heap védelmének megkerülésére, melyet az Infiltrate 2011-en prezentáltak. Ez a módszer egy sor eddig kihasználhatatlannak hitt sebezhetőség kihasználása előtt nyithatja meg az utat.
A kutatási anyag hiányában egyelőre annyit lehet tudni, hogy a kutatók rávették a célpont alkalmazást, hogy a Low Fragmentation Heap algoritmust alkalmazza memóriafoglaláskor, melyben nem alkalmazzák a már említett védelmi mechanizmusokat.
Ha további információ napvilágra kerül az ügyben, jelentkezem!
Friss: kutyacica kommentben igyekszik helyretenni a dolgokat, művelődjetek!
kutyacica 2011.04.18. 20:57:36
Az LFH lenyegesen fejlettebb front-end allocator biztonsagi szempontbol mint elodje. Chris Valasek beszelt mar rola BHVegas2010 (es elotte Ben Hawkes), ajanlom a papert tanulmanyozasra.
illmatics.com/Understanding_the_LFH.pdf
Kiderul belole tobbek kozott hogy az LFH "bekapcsolasa" nem akkora kunszt, csak x db adott meretu allocation request kell hozza, Ez persze egy browser eseteben trivialis JS-bol, egy remote service ellen ahol csak FTP keresekkel lehet trukkozni mar nehezebb, mint latjuk ettol meg lehetseges.
Mar ebben is irtak arrol (ahogy Ben Hawkes is korabban Vista viszonylatban) milyen modokon lehet lenyulni a FreeList-nek megfelelo strukturat magyarul ravenni az allocatort hogy altalunk meghatorozott memoriacimet adjon vissza allocation requestre, ezzel gyakorlatilag arbitrary write-n szituaciot eloidezve.
Sean Heelan gyakorlatilag (tobbek kozott) ugyanezt csinalta a TCMalloc-cal most, kiveve hogy ott konnyebb volt mert 0 vedelem van ellene:
seanhn.wordpress.com/2011/04/14/exploit-necromancy-in-tcmalloc-reviving-the-4-to-n-byte-overflow-primitive-with-insert-to-freelistx/
Kivancsian varom mit tetttek ehhez hozza, nyilvan Chris es Ryan giganagy majerek szoval valoszinuleg megint valami kiralysagot.
buherator · http://buhera.blog.hu 2011.04.18. 21:05:23