-
-
Adobe Flash Player远程代码执行漏洞分析（CVE-2012-1535）
-
发表于: 2012-9-19 00:24
-
written by h4ckmp
d5aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6f1u0A6L8W2k6#2L8q4)9J5k6f1y4G2L8b7`.`.
d87K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4c8Q4x3X3g2I4M7g2)9J5k6h3y4G2L8g2)9J5c8X3R3@1j5$3E0E0M7l9`.`.
欢迎讨论各种漏洞问题.
漏洞信息
发布日期：2012-08-14
更新日期：2012-08-16
受影响系统：
Adobe Flash Player 11.x
描述：
BUGTRAQ ID: 55009
CVE ID: CVE-2012-1535
Adobe Flash Player是一个集成的多媒体播放器。
Windows和Mac OS X平台上Adobe Flash Player 11.3.300.271之前版本，Linux平台上11.2.202.238之前版本，在实现上存在不明细节漏洞，可允许远程攻击者通过SWF内容执行任意代码或造成拒绝服务。
<*来源：Alexander Gavrun
链接：
8d2K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4y4W2j5%4g2F1K9h3q4Q4x3X3g2U0L8$3#2Q4x3V1k6S2k6s2k6A6M7$3!0J5K9h3g2K6i4K6u0r3y4e0l9J5z5o6g2Q4x3V1j5`.
421K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4y4W2j5%4g2F1K9h3q4Q4x3X3g2U0L8$3#2Q4x3V1k6S2k6s2k6A6M7$3!0J5K9h3g2K6i4K6u0r3y4e0l9J5z5o6k6Q4x3V1j5`.
*>
建议：
厂商补丁：Adobe
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
be9K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3q4V1L8$3u0W2i4K6u0W2j5$3!0E0i4K6u0r3M7%4g2H3M7r3!0J5N6q4)9J5c8Y4y4W2j5%4g2J5K9i4c8&6i4K6u0r3
漏洞介绍
使用IE调用SWF，IE Crash信息如下
出错函数如下
查看SWF文件格式，文件包含DefineFont4 Tag，DefineFont4是在SWF10中添加的。DefineFont4仅支持新的Flash文本引擎，嵌入的字体数据是以CFF格式存储的。
本次漏洞产生原因为整型溢出， 恶意数据存在于FontData数据偏移0x8344中， 位于kern Table中。文件中出现的0x1000为version，0x10000000为nTables（subtables数量），正因为错误的nTables值导致了异常的产生
漏洞分析
在TTF文件格式中有许多Table，其中有一处为'kern' Table，Adobe Flash Player在处理'kern' Table存在问题，也是本次漏洞的产生原因。程序中有牵扯到几个重要结构，在这里简单介绍其格式
'kern' Table
struct kernTableInfo (sizeof=0x10)
{
+0 objBufAlloctor // 内存池对象
+4 kernStreamObj // kernStream对象
+8 nTables // kernTable中subtables数量
+C ptrSubtables // 存储subtables的buffer
}
subtable
struct subtableInfo (sizeof=0x10)
{
+0 bKernFormatMask
+4 start_offset // 当前table起始偏移
+8 data_offset // table中数据起始偏移
+C field_C
}
进入kernTableHandler()函数内部，程序会读取'kern' Table中的nTables，并根据nTables申请内存，用于存放subtables
首先分配一块0x10的内存，存放kernTable信息
然后分配Size = nTable * 0x10 的内存，用于存放subtables，但由于nTables被恶意修改，致使nTable * 0x10产生整型溢出，分配了错误Size的内存
接下来程序会循环填充ptrSubtables，简单还原kernTableHandler函数代码
循环次数为nTables = 0x10000000，这个过程中会覆盖关键数据。在循环至第0x4F8次时，恰好覆盖至kernTableInfo.nTables，导致循环退出，之后进入vul_func()触发漏洞.
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
哈哈. 这个也是马甲
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
