Обзор эксплойтов

Крис Касперски ака мыщъх

Хакер, номер #092, стр. 092-050-2

Также была обнаружена кривизна в реализации указателей на объекты, приводящая к возможности выполнения shell-кода (securityfocus.com/bid/18037), и уже появилась пара вирусов-червей, распространяющихся через дыру Backdoor.Ginwui (symantec.com/avcenter/venc/data/backdoor.ginwui.html) и Trojan.Mdropper.H, (securityresponse.symantec.com/avcenter/venc/data/trojan.mdropper.h.html).

Имеются ошибки и в обработке графических файлов форматов GIF и PNG, опять-таки приводящие к возможности выполнения shell-кода: (securityfocus.com/bid/18913 и securityfocus.com/bid/18915).

Свойства объектов (property) и разборка (parsing) строк не отстают от своих товарищей и выполняют shell-код не хуже остальных (securityfocus.com/bid/18911 и securityfocus.com/bid/18912).

Не остается без внимания и Excel — в обработке стилей и выделении записей обнаружены дефекты, приводящие к возможности выполнения shell-кода: securityfocus.com/bid/18872, securityfocus.com/bid/18422 и securityfocus.com/bid/18885;

Плеяду ошибок завершает дыра в библиотеке hlink.dll, отвечающая за обработку стилей разных типов записей и при определенных обстоятельствах допускающая передачу управления на зловредный код: security.nnov.ru/Gnews270.html;

Target

Вся линейка продуктов MS Office различных версий;

Exploits

securityfocus.com/data/vulnerabilities/exploits/MSOffice_mosdll_poc.c;

downloads.securityfocus.com/vulnerabilities/exploits/excel-rce-nsrocket.txt;

securityfocus.com/data/vulnerabilities/exploits/Nanika.xls;

bsdpakistan.org/downloads/wordPOC.c;

Solution

Некоторые из вышеперечисленных дыр успешно подтверждены Microsoft, и для них выпущены заплатки: некоторые все еще остаются незалатанными, поэтому не отрывайте документов, полученных из ненадежных источников!

WinAmp: переполнение буфера в midi

Brief

19 апреля 2006 года в популярнейшем mp3-проигрывателеле WinAmp от Null-soft был обнаружен дефект в библиотеке in_midi.dll, отвечающей за проигрывание midi-файлов и некорректно проверяющей правильность заполнения некоторых полей. В результате чего у атакующего появилась возможность «уронить» WinAmp (который при этом настойчиво предлагает перезапустить систему, хотя ее можно и не перезапускать) или передать управление на shell-код. Следующий 34-байтовый midi-файл основательно сносит WinAmp'у крышу:

Листинг 1: Дамп midi-файла, вызывающего обрушение WinAmp'а

0000000000:4D 54 68 64 00 00 00 06 | 00 00 00 01 00 60 4D 54

0000000010:72 6B 00 00 00 FF FF FF | FF FF FF FF FF FF FF FF

0000000020:FF 00 |

Поскольку WinAmp может быть настроен так, чтобы проигрывать midi-содержимое web-страничек вместо основного системного проигрывателя (многие пользователи именно так его и настраивают), угроза очередной вирусной эпидемии принимает довольно масштабный характер, особенно учитывая тот факт, что WinAmp, в отличие от системы, практически никто не обновляет. К тому же исходное сообщение о дыре осталось незамеченным, даже когда оно было опубликовано вторично: 29 мая 2006 года, то есть ровно через месяц спустя: (fortinet.com/FortiGuardCenter/advisory/FG-2006-16.html). На Security-Focus оно попало с огромным (и нехарактерным для него) опознанием: 19 июня 2006 года (securityfocus.com/bid/18507);