Компания
238,66
рейтинг
18 сентября 2013 в 01:25

Разработка → Новая cross- Internet Explorer уязвимость эксплуатируется in-the-wild

Microsoft сообщает об обнаруженной таргетированной атаке на пользователей браузера Internet Explorer 8 & 9, в которой используется 0day уязвимость (CVE-2013-3893 MSHTML Shim), присутствующая во всех версиях браузера IE (6-10) для всех версий ОС XP(SP3)-Vista-Seven-8-RT x32/x64. Как и в случае со многими другими уязвимостями в IE, она имеет тип Remote Code Execution и используется злоумышленниками для скрытной установки вредоносного кода. Эксплуатирование относится к типу memory-corruption и связано с неправильным обращением кода браузера к удаленному блоку памяти (use-after-free). При этом исполняемый код получит те же права в системе, что и текущий пользователь.

Microsoft is investigating public reports of a vulnerability in all supported versions of Internet Explorer. Microsoft is aware of targeted attacks that attempt to exploit this vulnerability in Internet Explorer 8 and Internet Explorer 9. Applying the Microsoft Fix it solution, «CVE-2013-3893 MSHTML Shim Workaround,» prevents the exploitation of this issue. See the Suggested Actions section of this advisory for more information.

The vulnerability is a remote code execution vulnerability. The vulnerability exists in the way that Internet Explorer accesses an object in memory that has been deleted or has not been properly allocated. The vulnerability may corrupt memory in a way that could allow an attacker to execute arbitrary code in the context of the current user within Internet Explorer. An attacker could host a specially crafted website that is designed to exploit this vulnerability through Internet Explorer and then convince a user to view the website.




Компания выпустила Fix it утилиту для решения данной проблемы (охватывает 32-битные версии браузера), которую можно скачать здесь. Обратите внимание, что у вас должно быть установлено обновление KB2870699 из последнего patch tuesday (MS13-069: Cumulative security update for Internet Explorer: September 10, 2013).

Инструмент EMET, о котором мы подробно писали в нашем блоге, может успешно блокировать действия эксплойта (mitigation). По умолчанию, после установки, EMET включен для браузера Internet Explorer. Следующие включенные опции позволяют блокировать действия эксплойта (по умолчанию включены).

  • Forced ASLR
  • ROP
    • MemProt
    • Caller
    • SimExecFlow
    • StackPivot

  • Heap Spray
    • Найдите значение параметра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\EMET\iexplore.exe\ *\Internet Explorer\iexplore.exe
    • Откройте раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\EMET\_settings_\значение_предыдущего_параметра\heap_pages
    • Добавьте значение 0x12121212 в список.




UPD: детали эксплуатирования blogs.technet.com/b/srd/archive/2013/09/17/cve-2013-3893-fix-it-workaround-available.aspx.
Автор: @esetnod32
ESET NOD32
рейтинг 238,66

Комментарии (14)

  • +15
    А можно туда внедрить установщик хрома и заменить ярлык на рабочем столе?
    • +4
      Нет, этот троянец распространяется в основном социальной инженерией.
  • +1
    Что насчёт ИЕ11?
    • 0
      Релизная версия только появилась в составе Windows 8.1 и будет доступна пользователям только во второй половине октября.
      • 0
        Как насчёт подписки MSDN?
  • –4
    Да это когда-нибудь закончится?
    • +4
      Баги в браузерах? Нет, конечно, браузеры — такие же программы, как и все остальные.
    • 0
      Самого как-то настораживает резкое учащение сообщений о серьёзных уязвимостях в Ослике. Подозреваю, что мелкомягкие специально панику нагнетают перед прекращением поддержки Windows XP, чтобы больше клиентов на новые версии перешло.
  • 0
    The exploit we analyzed worked only on Windows XP or Windows 7 running Internet Explorer 8 or 9.
  • 0
    Я правильно понимаю, что исправление нужно скачать и запустить вручную, а через Windows Update оно распространяться не будет?
    • +1
      Сам себе и отвечу:
      On completion of this investigation, Microsoft will take the appropriate action to protect our customers, which may include providing a solution through our monthly security update release process, or an out-of-cycle security update, depending on customer needs.

      Непонятно, зачем Microsoft перешла на формат ежемесячных кумулятивных обновлений. Почему нельзя выдавать их по мере появления? Это же ускоряет устранение дыр и последствий.
      • 0
        Возможно, выпустят, когда будет готов патч. Сейчас же это quick fix, не исправляющий уязвимость как таковую.
  • +1
    Зашел в комментарии посмотреть на картинку решета… удивлен ее отсутствием.
    • 0
      Держите! :)

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.

Самое читаемое Разработка