티스토리 뷰
[Remote Exploit] Microsoft Internet Explorer CFlatMarkupPointer Use-After-Free (CVE-2013-3184, MS13-059)
hackability 2013. 10. 24. 22:56내용
- Microsoft Internet Explorer 7부터 10까지, 공격자가 조작된 웹 페이지를 이용하여 서비스 거부 공격 (memory corruption) 또는 원격 코드 실행을 할 수 있습니다. (aka "Internet Explorer Memory Corruption Vulnerability)
Information
- CVE-2013-3184, http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-3184
- MS13-059, http://technet.microsoft.com/ko-kr/security/bulletin/ms13-059
- Metasploit Framework
추가사항
- Metasploit의 코드는 Win7 SP1, IE 9 (mshtml 9.0.8112.16446)에서 실험되었습니다.
- StackPivot and ROP are used in this PoC
본 Memory Corruption 버그는 Microsoft Internet Explorer에서 발견되었습니다.
이 이슈는 특정 IE 7 문서 호환성에 맞춰져 있습니다. 이 호환성 문서는 X-UA-Compatible에 정의되어 있고 content의 수정 가능하도록 설정되어 있습니다. "onmove" 이벤트 핸들러 역시 이 버그를 발생시키기 위해 필요하고 Crash가 발생하기 전에 두 번 동작합니다.
첫 번째는 body element의 위치 변경을 위해 동작하는데 이는 MSHTML!CFlatMarkupPointer::'vftable' 오브젝트로 "SelectAll" 명령이 실행되는 동안 생성되며, 이 오브젝트는 추후 Crash 발생의 원인이 됩니다.
두 번째 "onmove" 이벤트는 InsertButton (또는 Insert-아무거나) 명령에 의해 발생되는데 이 오브젝트 역시 Page Rendering 중에는 CFlatMarkupPointer를 해제해야 하는 의무가 있습니다.
EnsureRecalcNotify() 함수는 CFlatMarkupPointer (EBX에 저장되어 있음)에게 유효하지 않은(Invalid) 주소를 넘겨주고 다음 함수 (GetLineInfo -> QIClassID)로 넘기게됩니다. 만약 이 유효하지 않은 주소가 QIDClassID에 도착하면 이 함수는 유효하지 않은 주소로 QueryInterface()를 호출하게 되어 결국 접근 위반(Access Violation)이 발생하게 됩니다. 결과적으로 이것은 Crash를 발생시킵니다.
만약 freed 메모리를 성공적으로 조작할 수 있다면 유저 Context에서 임의의 코드를 실행 시킬 수 있습니다.
* 참고로 이 버그는 CFlatMarkupPointer에만 한정된 것이 아니라 할당과 해제가 되는 다른 오브젝트에서들도 발생 할 수 있습니다.
'취약정보 > Microsoft' 카테고리의 다른 글
- Total
- Today
- Yesterday
- shellcode writing
- expdev 번역
- UAF
- IE 11 exploit
- 2015 School CTF
- shellcode
- TenDollar
- 2014 SU CTF Write UP
- School CTF Write up
- IE 11 UAF
- WinDbg
- IE 10 God Mode
- heap spraying
- data mining
- TenDollar CTF
- 데이터 마이닝
- 쉘 코드
- 쉘 코드 작성
- Mona 2
- 윈도우즈 익스플로잇 개발
- IE UAF
- IE 11 exploit development
- IE 10 익스플로잇
- School CTF Writeup
- Windows Exploit Development
- IE 10 리버싱
- Use after free
- 힙 스프레잉
- CTF Write up
- IE 10 Exploit Development
일 | 월 | 화 | 수 | 목 | 금 | 토 |
---|---|---|---|---|---|---|
1 | 2 | 3 | 4 | 5 | 6 | 7 |
8 | 9 | 10 | 11 | 12 | 13 | 14 |
15 | 16 | 17 | 18 | 19 | 20 | 21 |
22 | 23 | 24 | 25 | 26 | 27 | 28 |
29 | 30 | 31 |