日前,国外安全研究组织Nikita Tarakanov称在Symantec PGP Whole Disk Encryption(完整磁盘加密软件)中发现0day漏洞,该软件的内核驱动程序pgpwded.sys包含一个覆盖任意内存的漏洞,可执行任意代码,受影响的软件版本是Symantec PGP Desktop 10.2.0 Build 2599。- d& y7 q' H5 J5 B5 }; r
7 F+ V7 j+ I6 V4 a5 I4 p/ b
Symantec通过博客文章证实该版本软件确实存在安全问题,但是利用起来比较繁琐,并且仅限于运行在Windows XP和Windows 2003的系统,成功利用该漏洞需要有计算机本地访问权限。
P! J! j. p+ ^6 W' i( t. W2 E- k6 e% F3 T3 i# F' ~/ Q4 e
研究员Kelvin Kwan称“该漏洞触发场景非常困难,成功利用必须进入一些错误状态,但是成功利用的话可能允许攻击者执行任意代码,获取更高级别的权限”。该漏洞详细细节如下:3 y( n, M7 y2 m
2 t/ d/ j7 Z6 @/ L. ~4 k5 \, J
3 z3 y2 a, U; `1 Z8 s0 u0 z* e! q8 r/ ]) k1 X
function at 0x10024C20 is responsible for dispatching ioctl codes:/ L( J. T, h. V
' f% X5 v6 i; _+ |$ }* L! L L.text:10024C20 ; int __thiscall ioctl_handler_deep(int this, int ioctl, PVOID inbuff, unsigned int inbuff_size, unsigned int outbuff_size, PDWORD bytes_to_return)
2 R7 e) o- l: d/ V+ a3 L+ l7 w.text:10024C20 ioctl_handler_deep proc near ; CODE XREF: sub_10007520+6Ap- b: I/ h0 D0 w" S7 U" I1 @
.text:10024C203 q% R. h6 l5 o- m
.text:10024C20 DestinationString= UNICODE_STRING ptr -3Ch
# ^2 E& u* q7 k.text:10024C20 var_31 = byte ptr -31h' K' o. n2 s, ^* F5 U
.text:10024C20 var_30 = dword ptr -30h! U. _' S$ D& b5 F
.text:10024C20 some_var = dword ptr -2Ch
9 Q5 S" U" x* J5 N' J$ q' @.text:10024C20 var_28 = dword ptr -28h/ P* X& { S8 ]. p% D, }
.text:10024C20 var_24 = byte ptr -24h
M+ J) T; q' m9 c z, Q+ o$ `. W.text:10024C20 var_5 = byte ptr -5- l1 r5 A8 g" Y7 Z# K
.text:10024C20 var_4 = dword ptr -48 n4 h! }: I0 z% n, q
.text:10024C20 ioctl = dword ptr 85 L$ a: w4 b, `" e# z! b% ^3 R" [
.text:10024C20 inbuff = dword ptr 0Ch
4 \3 o: f7 F- M* J. K7 B% S* x* c.text:10024C20 inbuff_size = dword ptr 10h0 f5 H! u% N9 x' [; I
.text:10024C20 outbuff_size = dword ptr 14h
8 ?: w1 L/ [) s: G.text:10024C20 bytes_to_return = dword ptr 18h
9 O- H% L# R3 f9 ^; t" a.text:10024C207 i& ^+ Z& f% K! B+ T1 N7 _% R# z
.text:10024C20 push ebp
& a$ |7 I: ^3 H0 q; n. G.text:10024C21 mov ebp, esp r# F! P a7 D/ g7 ^. p* o
.text:10024C23 sub esp, 3Ch% y7 D, [9 L+ \7 f
.text:10024C26 mov eax, BugCheckParameter2/ p% M" B+ ^5 S1 z" B+ r( B+ i
.text:10024C2B xor eax, ebp7 t6 B& Z! X, M# d' n. B6 F* ~
.text:10024C2D mov [ebp+var_4], eax
+ [% S B+ E8 s2 Z* ]- X. v" N/ w.text:10024C30 mov eax, [ebp+ioctl]# u5 X% f, z, E( g
.text:10024C33 push ebx% ?& |7 K+ a9 f1 q+ C
.text:10024C34 mov ebx, [ebp+inbuff]$ q. B. d/ s3 [: Q' j4 v
.text:10024C37 push esi
5 ~% D9 p$ T% q.text:10024C38 mov esi, [ebp+bytes_to_return]
3 l1 l. ?7 x- `' i* ~5 v.text:10024C3B add eax, 7FFDDFD8h* F! ]( L$ V/ H
.text:10024C40 push edi
/ W( L# T/ F `.text:10024C41 mov edi, ecx+ K* v4 ]6 r/ c, ]6 J) r- y
.text:10024C43 mov [ebp+some_var], esi' c3 f$ b" J/ {" a! t1 O1 a
.text:10024C46 mov [ebp+var_28], 0% C9 V; e+ I; \7 ^' T% v6 U3 ~
.text:10024C4D cmp eax, 0A4h ; switch 165 cases. X* v+ s- _( b7 l. ?* H2 P. b
.text:10024C52 ja loc_10025B18 ; jumptable 10024C5F default case; a8 s! z" M9 L
.text:10024C58 movzx eax, ds:byte_10025BF0[eax]
0 t3 c$ ^9 Z# P: W5 _, V6 T1 s.text:10024C5F jmp ds ff_10025B50[eax*4] ; switch jump5 W' j& F6 @ [! d- h
$ i8 g$ d* X8 ^+ O
[..]+ P1 }) b- X% c3 m3 V7 H, ]& Q
. \8 P( ~: _% j2 I% W
0x80022058 case: no check for outbuff_size == 0! <--- FLAW!
p5 _# H" I0 [" V, G z, p+ d2 Q. D7 u& b' p P
.text:10024F5A lea ecx, [edi+958h] A! K. a9 d# C9 O! }* c9 @0 f7 L6 y& e
.text:10024F60 call sub_100237B0# @1 `) f! I/ t; O/ U- }+ j7 K
.text:10024F65 mov [ebp+some_var], eax& ` o# n$ X l. g
.text:10024F68 test eax, eax, R% G& F( D9 q9 l0 _7 f
.text:10024F6A jnz short loc_10024F7D
) O9 u- Z5 n' G8 G! s7 Z( O, s.text:10024F6C mov dword ptr [ebx], 0FFFFCFFAh' h& t6 Q2 g6 b& e& U
.text:10024F72 mov dword ptr [esi], 10h <--- bytes to copy to output buffer
( _; `7 d! J: y8 ^- i. I
q7 @0 y: }' \next in IofComplete request will be rep movsd at pointer, that is under attacker's control& K* ~; I! L0 B, O' V$ l5 ~
/ Q: M& d' Q( ?# v% D+ ODue the type of vulnerability (METHO_BUFFERED with output_size == 0) exploit works only on Winows XP/2k3, cause in later Windows OS I/O manager doesn't craft IRP if ioctl is METHOD_BUFFERED and output_size == 0. ) @& E, H$ {5 H- u7 Y
+ `6 k) `& A' z" R3 HSymantec表示在2月份的补丁包中修复该漏洞。) X% W7 D4 ^8 J
5 k9 m* B" t3 @相关阅读:" V- X2 b6 {+ U; P8 m R
0 c1 U9 Z5 b( n* k! M% _% b赛门铁克的 PGP Whole Disk Encryption 为企业提供了全面的高性能完整磁盘加密功能,可对台式机、笔记本电脑和可移动介质上的所有数据(用户文件、交换文件、系统文件、隐藏文件等)进行完整磁盘加密。该完整磁盘加密软件可让数据免遭未经授权的访问,从而为知识产权、客户和合作伙伴数据提供强大的安全防护。受保护的系统可由 PGP Universal Server 集中管理,这就简化了部署、策略创建、分发和报告过程。
5 d& M! A5 g8 ]8 P6 y9 [& }
$ n& W8 b' `- \# W |