QQ登录

只需一步,快速开始

微信登录

扫一扫,访问微社区

柳月论坛

查看: 48|回复: 0

如何使用类型混淆(CVE-2018-12794)在Adobe Reader执行代码

[复制链接]
kris 发表于 2018-11-6 09:06:42 | 显示全部楼层 |阅读模式

注册会员,学习更多最新技术!

您需要 登录 才可以下载或查看,没有帐号?点击注册

x

该漏洞的潜在原因是类型混淆。攻击者通过构造XML数据包(XDP)模板并在XML Forms Architecture (XFA)对象上执行特定的JavaScript操作,可以迫使Reader跳出模板对象的范围来引用数据。如果成功,就会在沙盘渲染程序中执行代码执行。

漏洞分析

触发该漏洞所需的XDP模板代码相当简单:
该漏洞由两个JavaScript指令触发。通过将一个子表单附加到另一个子表单,我们可以触发对底层模板对象的超界(OOB)读取。在这种情况下,当附加一个xfa引用的子表单时,就会出现漏洞。然后调用 <object>.presence = “inactive”;.
启用PageHeap后,在读取模板对象的OOB时,CMP指令上发生崩溃。虽然对象看起来只有0×140字节大小,但是我们在偏移量0x1d0处取消了对缓冲区边界以外数据的引用:
根据崩溃情况,我们知道唯一对象的类型是0x7c00。通过观察acroform.api的符号化版本。在Solaris 9.4.1中,我们可以看到这个特定类型的id属于XFATemplateModelImpl对象,它只是底层XDP的“模板”对象:回到非符号化的Windows版本的acroform.api,我们可以确认模板对象的大小为0×140字节,这是上面引用的OOB对象的大小。我们可以通过几个简单的步骤找到:在XFATemplateModelImpl::Type method中Acroform.api可以找到静态变量0x7c00。
Xref提供XFATemplateModelImpl vtable:

-Xref到vtable start提供构造函数。-Xref到构造函数并向上滚动几行显示对象的大小,即0×140字节:
由于我们导致了对模板对象的OOB读取,所以我们可以推测代码预期的是一个不同的、更大的对象,而不是模板对象,这也表明这是一个类型混淆错误。最有可能的是,类型混淆发生在xfa模板和xfa表单对象之间。而xfa模板大小为0×140字节,即xfa表单对象的大小为0×270字节。

##  Exploit我们不能在模板对象被实例化之前执行JavaScript代码,要知道控制崩溃不是件小事。要实现这一点,需要在PDF解析过程或XDP解析之前的任何其他受控数据处理过程中求助于可控制的分配和释放。控制崩溃的另一种方法是构造一个PDF,其中包含一个附加的PDF,这会触发漏洞。Heap feng shui将发生在“外部”PDF中,触发“内部”(附件)PDF中的vuln。然后,以使其执行JavaScript代码的方式打开附加的PDF需要更高的权限,因此它可能对大多数用户无效。通过执行“poc.pdg”可以观察到这种崩溃是可以控制的。即使没有PageHeap。由于要读取Unicode字符串的某些部分并将其用作指针,因此最终会发生崩溃。下面是一个没有PageHeap的崩溃输出:

结论

如果你想亲自测试一下,PoC就在这里。它可以在2018.011.20040之前在adobereader版本上起作用。看看我们今年发布的建议,你会发现很多pdf相关的案例。adobereader可能是最流行的,但是Foxit Reader中也存在大量bug。在操作系统中加入内置的PDF渲染器,就可以理解为什么如此多的研究人员研究这种攻击表面。


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 点击注册

本版积分规则

QQ|手机版|小黑屋|Archiver| 柳月论坛 ( 鄂ICP备16013399号-1 )

GMT+8, 2018-12-14 22:33 , Processed in 0.048737 second(s), 19 queries , Gzip On.

Powered by 柳月论坛

© 2010-2018

快速回复 返回顶部 返回列表