Office公式编辑器漏洞二代来袭 启明星辰提供解决方案
发布时间:2018-01-15   作者:启明星辰

在上周二(2018年1月9日)的微软例行更新中,微软再一次对Office中的公式编辑器3.0产生的多个内存破坏漏洞进行了修补,并将这一系列漏洞归类于编号CVE-2018-0802。

 

漏洞披露后,金睛安全研究团队及时对漏洞相关安全事件进行了跟进。

 

漏洞影响版本:


Office 365
Microsoft Office 2000     
Microsoft Office 2003     
Microsoft Office 2007 Service Pack 3
Microsoft Office 2010 Service Pack 2
Microsoft Office 2013 Service Pack 1
Microsoft Office 2016
 

漏洞事件分析


目前已知的漏洞触发方式存在两种。

 

其中一种由国内安全公司的研究员提出,利用了公式的FONT记录解析漏洞,与之前的CVE-2017-11882漏洞较为接近。目前已经存在此种方式进行利用的在野样本,由于新的利用方式在未打CVE-2017-11882补丁的机器上会造成崩溃,所以需要搭配之前的漏洞利用公式一同使用。

 

另一种由国外安全公司的研究员提出,使用了公式的MATRIX记录(原报告中误认为是SIZE记录)解析漏洞来造成栈溢出。目前尚未发现利用此种方式的样本。由于此种方式对ASLR机制的绕过需要暴力枚举,会导致打开文档的时间变得极长。

 

由于前者的报告已经非常详细,且原理与CVE-2017-11882较为接近,本文将主要分析后者。


漏洞细节分析


在CVE-2017-11882漏洞的一处修补(0x4164FA)中,修补代码通过增加额外的参数(拷贝字符数)以及增加判断语句、截断语句的方式,修正了所产生的栈溢出。
修补前后的代码如下图所示:
 

图 1 - 修补前后的代码对比

 

但问题正出在这个修补方式上,由于利用类似读入方式的代码有多处,难免存在漏网之鱼。通过对GetByte函数(0x416352)的XREF进行查看,可以查找到另一处可能产生越界拷贝的ReadData函数(0x443F6C)。
 

图 2 - 存在漏洞的ReadData函数

 

实际拷贝的数据大小(real_size)的值经传入的参数(size)计算后得出,但这个传入的参数是在公式中的可控数据。因此将该值更改为较大的值,便会覆盖掉栈上随后的数据。

 

ReadData函数在0x443E34函数中被调用,继续向上XREF发现仅有0x454F50地址处提到了该函数。向上查看可以发现0x454F30处是一个结构体,通过对这一部分进行逆向可以得到以下内容(参考http://rtf2latex2e.sourceforge.net/MTEF3.html)。


 

图 3 - 对TAG进行解析的函数

 

而0x454F30处的结构体对应的是case 4,即MATRIX记录。通过查阅可以发现MATRIX记录的结构如下:

 

 

由于ProcessMatrixRecord(0x443E34)函数对rows和cols两个变量的数值未进行检验,通过real_size = (2 * size + 9) / 8可以计算出实际复制的数据大小。


 
通过实际的调试,可以得到栈上的内存布局如下:

 

 

为rows指定0x1C(28),即实际复制(2 * 28 + 9) / 8 = 8个字节,然后为cols指定一个较大的数值(本例中0x94,即复制38个字节)则会覆盖掉栈上原本的内容。

 

假定基址为0x400000,首先先用一定的数据覆盖到栈上,结果如下。
 

图 4 - ret时各寄存器的状态

 

图 5 - ret时EAX寄存器所指向的地址

 

在执行ret语句时,EAX寄存器所指向的地址离样本中可控的输入数据相差0x32个字节。攻击者可以通过构造ROP链,对EAX寄存器的值进行抬高,从而实现执行任意命令。
 

图 6 - 对MATRIX记录进行解析的函数(ProcessMatrixRecord, 0x443E34)

 

由于微软在CVE-2017-11882的修补程序中已经强制开启了ASLR机制,所以使exploit奏效仍需绕过此机制。这种方法利用了Word的一个特性:当公式编辑器产生异常时,Word会接管异常并不给出任何提示信息。而EQNEDT32.exe是一个32位进程,ASLR空间对应的基址尚且处于可以枚举的范围内——通过构造大量的公式,使用不同的基址构造ROP链即可绕过ASLR机制。


解决方案


1、下载微软最新补丁

 

(1) https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0802

 

(2)开启Windows自动更新。微软最新版本已经去掉了该模块微软将EQNEDT32.EXE从产品中删除,并不再支持旧版本的公式格式。

 

2、在注册表中取消该模块的注册

 

 

reg add “HKLM\SOFTWARE\Microsoft\Office\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}” /v “Compatibility Flags” /t REG_DWORD /d 0x400


  
对于在64位操作系统上的32位的Office,执行下列操作

 


 
reg add “HKLM\SOFTWARE\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046}” /v “Compatibility Flags” /t REG_DWORD /d 0x400


  
3、部署启明星辰天阗高级持续性威胁检测与管理系统,最新版本可有效检测利用公式编辑器漏洞的文档文件。

 


VenusEye金睛安全研究团队

 

VenusEye金睛安全研究团队是启明星辰集团检测产品本部从事专业安全分析的技术型团队,主要职责是对现有产品上报的安全事件、样本数据进行挖掘、分析,并向用户提供专业的分析报告。

 

金睛团队会依据数据产生的威胁情报,对其中采用的各种攻击技术做深入的跟踪与分析,并给出专业分析结果、提出专业建议,为用户决策提供帮助。团队成立至今,先后发布了《海德薇Hedwig组织分析报告》、《Locky密锁攻击恶意样本分析报告》、《2016年度监测数据分析报告》等数十份专业安全分析报告。

 

文章来源:http://www.venustech.com.cn/
  • 公司总部 | 分支机构 | 法律声明 | 投资者关系 | 400-624-3900 800-810-6038
  • © 启明星辰1996-2015 版权所有 京ICP备05032414号 京公网安备11010802024551号