Symantec完整磁盘加密软件爆0day漏洞

admin

日前，国外安全研究组织Nikita Tarakanov称在Symantec PGP Whole Disk Encryption（完整磁盘加密软件）中发现0day漏洞，该软件的内核驱动程序pgpwded.sys包含一个覆盖任意内存的漏洞，可执行任意代码，受影响的软件版本是Symantec PGP Desktop 10.2.0 Build 2599。

0 B8 k! O+ d( W0 J% HSymantec通过博客文章证实该版本软件确实存在安全问题，但是利用起来比较繁琐，并且仅限于运行在Windows XP和Windows 2003的系统，成功利用该漏洞需要有计算机本地访问权限。

; c" R7 O# g7 K( o3 D" U  L研究员Kelvin Kwan称“该漏洞触发场景非常困难，成功利用必须进入一些错误状态，但是成功利用的话可能允许攻击者执行任意代码，获取更高级别的权限”。该漏洞详细细节如下：

4 J% v$ G2 a9 F/ C2 E3 P- A

function at 0x10024C20 is responsible for dispatching ioctl codes:
5 t0 o1 P% i$ d1 o. W' V
, H# u2 \8 P' {, ^.text:10024C20 ; int __thiscall ioctl_handler_deep(int this, int ioctl, PVOID inbuff, unsigned int inbuff_size, unsigned int outbuff_size, PDWORD bytes_to_return)
.text:10024C20 ioctl_handler_deep proc near            ; CODE XREF: sub_10007520+6Ap
# w: _$ v) H  }8 o  V1 d.text:10024C20
+ \" y! k% w. r.text:10024C20 DestinationString= UNICODE_STRING ptr -3Ch
, ?- W5 Z9 W( q% e% z. \.text:10024C20 var_31          = byte ptr -31h
$ {6 H+ ~& F/ F- s.text:10024C20 var_30          = dword ptr -30h
; I  ]" B: X6 @/ P0 c* N.text:10024C20 some_var        = dword ptr -2Ch
.text:10024C20 var_28          = dword ptr -28h
$ u. Q$ A, a5 t0 [.text:10024C20 var_24          = byte ptr -24h
- N, n/ m# x/ t6 |: ~.text:10024C20 var_5           = byte ptr -5
4 N) p5 N6 }( ]6 U. R' l  }.text:10024C20 var_4           = dword ptr -4
.text:10024C20 ioctl           = dword ptr  8
.text:10024C20 inbuff          = dword ptr  0Ch
7 V$ K, P. r. _.text:10024C20 inbuff_size     = dword ptr  10h
.text:10024C20 outbuff_size    = dword ptr  14h
8 `7 r& i9 [, E* o) a.text:10024C20 bytes_to_return = dword ptr  18h
.text:10024C20
+ y; i& Z' Q* m) @  {' U.text:10024C20                 push    ebp
.text:10024C21                 mov     ebp, esp
.text:10024C23                 sub     esp, 3Ch
.text:10024C26                 mov     eax, BugCheckParameter2
  s0 d( ^' ^' f  M+ Q1 d# ^+ H.text:10024C2B                 xor     eax, ebp
0 j. r  p7 ?# r/ N* A4 X9 a6 m* a.text:10024C2D                 mov     [ebp+var_4], eax
.text:10024C30                 mov     eax, [ebp+ioctl]
9 D. U$ K: O0 G6 D" C1 X.text:10024C33                 push    ebx
.text:10024C34                 mov     ebx, [ebp+inbuff]
.text:10024C37                 push    esi
.text:10024C38                 mov     esi, [ebp+bytes_to_return]
1 ^% A2 K: G' ~4 X4 n1 O.text:10024C3B                 add     eax, 7FFDDFD8h
.text:10024C40                 push    edi
.text:10024C41                 mov     edi, ecx
+ z% @0 {7 ~  ]+ d1 h4 V.text:10024C43                 mov     [ebp+some_var], esi
.text:10024C46                 mov     [ebp+var_28], 0
.text:10024C4D                 cmp     eax, 0A4h       ; switch 165 cases
& \9 M, t; F% ~) v# o% `% n.text:10024C52                 ja      loc_10025B18    ; jumptable 10024C5F default case
6 |  H; T1 L8 ~* T. m5 D. W.text:10024C58                 movzx   eax, ds:byte_10025BF0[eax]
. k: e  S7 [# d# X.text:10024C5F                 jmp     dsff_10025B50[eax*4] ; switch jump

[..]

0x80022058 case: no check for outbuff_size == 0! <--- FLAW!

8 J3 ^* s8 T0 M.text:10024F5A                 lea     ecx, [edi+958h]
.text:10024F60                 call    sub_100237B0
$ }7 @7 Q5 N4 d+ ?- m- g0 `; M.text:10024F65                 mov     [ebp+some_var], eax
4 r! }5 l& ^3 t3 s3 D' F/ a.text:10024F68                 test    eax, eax
.text:10024F6A                 jnz     short loc_10024F7D
, M7 i! j& }( B* p9 z5 b.text:10024F6C                 mov     dword ptr [ebx], 0FFFFCFFAh
.text:10024F72                 mov     dword ptr [esi], 10h <--- bytes to copy to output buffer
: a, D( ~. }- k# B5 T7 \- Z( q1 z
6 ]9 G: Y. n8 \next in IofComplete request will be rep movsd at pointer, that is under attacker's control

- H1 s3 {8 u" Z) T" w; x2 FDue the type of vulnerability (METHO_BUFFERED with output_size == 0) exploit works only on Winows XP/2k3, cause in later Windows OS I/O manager doesn't craft IRP if ioctl is METHOD_BUFFERED and output_size == 0.

! y1 p7 R6 E5 c, r# tSymantec表示在2月份的补丁包中修复该漏洞。
0 ?- P; m) ?0 V8 Y7 u! }
, b% e: {- k+ p& J' j5 [相关阅读：

赛门铁克的 PGP Whole Disk Encryption 为企业提供了全面的高性能完整磁盘加密功能，可对台式机、笔记本电脑和可移动介质上的所有数据（用户文件、交换文件、系统文件、隐藏文件等）进行完整磁盘加密。该完整磁盘加密软件可让数据免遭未经授权的访问，从而为知识产权、客户和合作伙伴数据提供强大的安全防护。受保护的系统可由 PGP Universal Server 集中管理，这就简化了部署、策略创建、分发和报告过程。

  d' y3 |/ E  l1 ]% q! S