神刀安全网

CVE-2016-1019 Flash漏洞被加入漏洞利用工具包套餐

4 2 号,安全研究员 @Kafeine   发现Magnitude漏洞的利用工具包有一些变化 。很感谢他发现与收集的这些样本,我们分析了他们并且发现 Magnitude 工具包中更新了一个未知的 Adobe Flash Player(CVE-2016-1019) 漏洞。该漏洞可以造成最新版本的 Flash Player 远程代码执行,   但事实上最新版本( 21.0.0.197)其实是 可以阻止该漏洞利用,因为 Adobe 在版本 21.0.0.182 Flash Player 中引入了新的漏洞缓和机制,这个 是一个不错的创新。

因此可以说在漏洞利用工具包的作者发觉前, Adobe 就将这个潜在的漏洞修复了。

漏洞传递链

Magnitude EK 最近更新了传递链。增加了一个像 Angler EK 的外侧入口,可以收集屏幕尺寸大小和颜色深度(图 1

CVE-2016-1019 Flash漏洞被加入漏洞利用工具包套餐

1 JS 外侧入口

服务器的回复是另一个侧写页面,这个是为了避免从虚拟机向用户浏览器发送漏洞,或者避免一些已安装的杀毒软件(图 2 )。在附录中可以看到完整的活动列表。

CVE-2016-1019 Flash漏洞被加入漏洞利用工具包套餐

2 JS 重连漏洞主页面

在我们的测试中, Magnitude EK 传递的是 JSON 重释放漏洞( CVE-2015-2419 )以及微型 Flash 加载器随后利用这个新的 Flash 漏洞(图 3 )。

CVE-2016-1019 Flash漏洞被加入漏洞利用工具包套餐

3 JS 加载漏洞

Flash 漏洞

这个漏洞是由于一个未公开的 API 函数 ASnative 的内存破坏导致的,会使得攻击者可以控制 Flash 在内存中分配的内存缓冲区。攻击者可以创建一个长度为 0xFFFFFFFF 大小的 ByteArray ,通过这个就可以读写任意的内存,如图 4 。漏洞利用代码布局和一些功能和 HackTeam 的利用方式非常相似,他们从服务器下载恶意文件随后执行。

CVE-2016-1019 Flash漏洞被加入漏洞利用工具包套餐

4 Flash 漏洞的 ActionScript

结论

事实上,这已经不是第一次由于新开发的漏洞缓和趋势研究使得未被披露的零日攻击无效了。

不过即使进行了常规的漏洞更新,攻击者还是继续以Flash Player作为攻击目标,主要是因为它应用的很普遍而且具有跨平台的特征。所以如果你的环境需要安装Flash Player,最好确保已经更新至最新的版本,可以使用微软的 EMET 漏洞缓和工具。

注:原文相关附录过长,感兴趣的同学可以点击参考来源查看。

*参考来源: fireeye ,FB小编老王隔壁的白帽子翻译,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » CVE-2016-1019 Flash漏洞被加入漏洞利用工具包套餐

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址