当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0146844

漏洞标题：猎豹浏览器驱动存在内核利用漏洞

相关厂商：金山网络

漏洞作者： iometer

提交时间：2015-10-15 16:09

修复时间：2016-01-13 16:30

公开时间：2016-01-13 16:30

漏洞类型：非授权访问/认证绕过

危害等级：高

自评Rank：17

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-15： 细节已通知厂商并且等待厂商处理中
2015-10-15： 厂商已经确认，细节仅向厂商公开
2015-10-18： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-09： 细节向核心白帽子及相关领域专家公开
2015-12-19： 细节向普通白帽子公开
2015-12-29： 细节向实习白帽子公开
2016-01-13： 细节向公众公开

简要描述：

猎豹浏览器驱动KNBDRV.sys，存在任意地址写入漏洞，写入的地址可控，可以实现穿透猎豹BIPS安全体系/在内核态执行任意指令的目的.

详细说明：

猎豹浏览器驱动KNBDRV.sys，在处理IoControlCode为0x83060054的IO操作时，没有校验调用者传递来的输出缓冲区地址和大小，导致出现一个写入地址可控的任意地址写入漏洞。
要触发这个漏洞，需要借助猎豹浏览器的另一个驱动ksapi.sys, 通过IoControlCode为0x00222450的通信，杀死进程KNBCENTER.EXE; 并需要给设备KNBDRV发一个IoControlCode为0x83060050的IO操作，此IO操作的输入的数据直接影响如何利用这个漏洞.

iodisp.png


NTSTATUS __stdcall PreExploitFunction(PKNBDRV_INPUT Intput)
{
    PULONG pInputBuffer;
    NTSTATUS result;
    pInputBuffer = (PULONG)Intput->InputBuffer;
    if ( Intput->InputBufferLength != 8 || *pInputBuffer >= 0x18 )
    {
        result = STATUS_ACCESS_DENIED;
    }
    else
    {
        EXP_18_ARRAY[*pInputBuffer] = pInputBuffer[1];
        result = 0;
    }
    return result;
}
NTSTATUS __stdcall DoExploitFunction(PKNBDRV_INPUT Intput)
{
    NTSTATUS result;
    ULONG Index;
    if ( Intput->InputBufferLength != 4 || (Index = *(_DWORD *)Intput->InputBuffer, Index >= 0x18) )
    {
        result = STATUS_ACCESS_DENIED;
    }
    else
    {
        *(_DWORD *)Intput->OutputBuffer = EXP_18_ARRAY[Index];
        result = 0;
        Intput->Information = 4;//perfect
    }
    return result;
}

漏洞证明：

//示例程序:执行0xEB 0xFE实现内核线程死循环;
//下载链接 http://pan.baidu.com/s/1hqjiVi8

修复方案：

1. 严格校验输入和输出缓冲区地址及大小;
2. 严格校验驱动程序的调用者.

版权声明：转载请注明来源 iometer@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2015-10-15 16:28

厂商回复：

收到，非常感谢！

最新状态：

2015-10-19：已经修复，升级程序已经放出。