Ginny Hà
VIP Members
-
04/06/2014
-
88
-
689 bài viết
Thêm một “món quà” từ vụ Hacking Team: lỗ hổng zero-day trên IE
Liên quan đến dữ liệu thu thập được từ vụ lộ lọt của Hacking Team, các chuyên gia phát hiện thêm một lỗ hổng zero-day cho phép tin tặc chiếm quyền điều khiển hệ thống. Tiếp nối Adobe Flash với 3 lỗ hổng zero-day mới bị phát hiện, Internet Explorer (IE) là nạn nhân trong lần này. Lỗ hổng CVE-2015-2425 vừa được vá trong “Ngày thứ 3 bản vá” định kỳ của Microsoft (14/07). Hiện vẫn chưa có bằng chứng nào cho thấy lỗ hổng đã bị khai thác trong thực tế.
Thông tin lỗ hổng
Lỗ hổng zero-day được các chuyên gia phát hiện tồn tại trong hàm UAF (Use-After-Free) của thư viện jscript9.dll, cụ thể là trong object MutationObserver. Khi MutationObserver theo dõi một thành phần đã bị xóa/hủy bỏ, lỗi trên trình duyệt sẽ xảy ra. Lỗ hổng chỉ ảnh hưởng tới IE 11 do các phiên bản trình duyệt cũ không hỗ trợ tính năng này.
Đoạn mã khai thác POC được các chuyên gia phát hiện có thể crash IE 11 mỗi khi người dùng tải trình duyệt. Theo kết quả phân tích, IE 11 bị crash tại đoạn mã JMP EAX. Dưới đây là hình ảnh mô tả IE 11 bị crash:
Dưới đây là hàm gây ra lỗi crash trong thư viện jscript9.dll
Nguy cơ từ lỗ hổng
Trong thông báo mới nhất, Microsoft đã xác nhận lỗ hổng này có thể bị khai thác. Hình thức tấn công có thể là sử dụng kỹ thuật heap spray để chiếm giữ bộ nhớ trống trước khi bộ nhớ đó được sử dụng.
Thông qua khai thác lỗ hổng, kẻ tấn công có thể chạy bất cữ đoạn mã nào trên hệ thống. Tuy nhiên, mức độ nghiêm trọng của cuộc tấn công sẽ phụ thuộc vào phiên bản hệ điều hành trên thiết bị của nạn nhân. Trên Windows 7, tiến trình tab IE11 sẽ có đặc quyền tương đương tiến trình frame, tin tặc có thể chạy đoạn mã để có các quyền như một người dùng đã đăng nhập. Trên Windows 8.1 và các phiên bản sau đó, quyền của tiến trình tab trên IE11 được để mặc định ở mức thấp. Một cuộc khai thác thành công đòi hỏi phải khai thác được lỗ hổng leo thang đặc quyền.
Kết luận
Các dữ liệu của Hacking Team mới chỉ được công bố cách đây hơn một tuần và điều này có nghĩa các tin tặc đã có khoảng thời gian để sẵn sàng cho việc khai thác lỗ hổng. Các chuyên gia khuyến cáo người dùng đang sử dụng IE 11 cần cập nhật ngay lên phiên bản mới nhất để tránh bị ảnh hưởng từ lỗ hổng.
Thông tin lỗ hổng
Lỗ hổng zero-day được các chuyên gia phát hiện tồn tại trong hàm UAF (Use-After-Free) của thư viện jscript9.dll, cụ thể là trong object MutationObserver. Khi MutationObserver theo dõi một thành phần đã bị xóa/hủy bỏ, lỗi trên trình duyệt sẽ xảy ra. Lỗ hổng chỉ ảnh hưởng tới IE 11 do các phiên bản trình duyệt cũ không hỗ trợ tính năng này.
Đoạn mã khai thác POC được các chuyên gia phát hiện có thể crash IE 11 mỗi khi người dùng tải trình duyệt. Theo kết quả phân tích, IE 11 bị crash tại đoạn mã JMP EAX. Dưới đây là hình ảnh mô tả IE 11 bị crash:
Dưới đây là hàm gây ra lỗi crash trong thư viện jscript9.dll
Nguy cơ từ lỗ hổng
Trong thông báo mới nhất, Microsoft đã xác nhận lỗ hổng này có thể bị khai thác. Hình thức tấn công có thể là sử dụng kỹ thuật heap spray để chiếm giữ bộ nhớ trống trước khi bộ nhớ đó được sử dụng.
Thông qua khai thác lỗ hổng, kẻ tấn công có thể chạy bất cữ đoạn mã nào trên hệ thống. Tuy nhiên, mức độ nghiêm trọng của cuộc tấn công sẽ phụ thuộc vào phiên bản hệ điều hành trên thiết bị của nạn nhân. Trên Windows 7, tiến trình tab IE11 sẽ có đặc quyền tương đương tiến trình frame, tin tặc có thể chạy đoạn mã để có các quyền như một người dùng đã đăng nhập. Trên Windows 8.1 và các phiên bản sau đó, quyền của tiến trình tab trên IE11 được để mặc định ở mức thấp. Một cuộc khai thác thành công đòi hỏi phải khai thác được lỗ hổng leo thang đặc quyền.
Kết luận
Các dữ liệu của Hacking Team mới chỉ được công bố cách đây hơn một tuần và điều này có nghĩa các tin tặc đã có khoảng thời gian để sẵn sàng cho việc khai thác lỗ hổng. Các chuyên gia khuyến cáo người dùng đang sử dụng IE 11 cần cập nhật ngay lên phiên bản mới nhất để tránh bị ảnh hưởng từ lỗ hổng.
Nguồn: Blog Trendmicro