瑞星SSDT NtOpenProcess()鉤子服務漏洞

【綠盟科技授權，賽迪發佈，謝絕任何網站轉載，違者，賽迪網將保留追究其法律責任的權利！】

【賽迪網-IT技術報道】瑞星的驅動實現上存在漏洞，本地攻擊者可能利用此漏洞導致系統崩潰。瑞星殺毒軟體的NtOpenProcess鉤子沒有驗證結構的指針！

發佈日期：2008-04-28

更新日期：2008-04-29

受影響系統：

Rising Antivirus 19.66.0.0

Rising Antivirus 19.60.0.0

描述：

--------------------------------------------------------------------------------

BUGTRAQ ID: 28744

CVE(CAN) ID: CVE-2008-1738

瑞星是中國的一家非常著名的殺毒軟體廠商。

瑞星的驅動實現上存在漏洞，本地攻擊者可能利用此漏洞導致系統崩潰。

瑞星殺毒軟體的NtOpenProcess鉤子沒有驗證以下結構的指針：

/-----------

typedef struct _CLIENT_ID {

HANDLE UniqueProcess;

HANDLE UniqueThread;}

- -----------/

是否指向了所映射的記憶體，當代碼試圖引用指針檢查CLIENT_ID->UniqueProcess值時，如果指向了無效的記憶體，系統就會崩潰。

/-----------

NtOpenProcess( OUT PHANDLE ProcessHandle,

IN ACCESS_MASK AccessMask,

IN POBJECT_ATTRIBUTES ObjectAttributes,

IN PCLIENT_ID ClientId )

.text:00010EAA push ebp

.text:00010EAB mov ebp, esp

.text:00010EAD push esi

.text:00010EAE mov esi, offset Addend

.text:00010EB3 push edi

.text:00010EB4 mov ecx, esi ; Addend

.text:00010EB6 call ds:InterlockedIncrement

.text:00010EBC call PsGetCurrentProcessId

.text:00010EC1 cmp eax, dword_11C8C

.text:00010EC7 jnz short loc_10ECE

.text:00010EC9

.text:00010EC9 loc_10EC9: ; CODE XREF: sub_10EAA+37_j

.text:00010EC9 push [ebp+ClientId]

.text:00010ECC jmp short loc_10EF0

.text:00010ECE

.text:00010ECE loc_10ECE: ; CODE XREF: sub_10EAA+1D_j

.text:00010ECE call PsGetCurrentProcessId

.text:00010ED3 mov ecx, dword_11C80

.text:00010ED9 push eax

.text:00010EDA call sub_11070

.text:00010EDF test al, al

.text:00010EE1 jnz short loc_10EC9

.text:00010EE3 call PsGetCurrentProcessId

.text:00010EE8 mov edi, [ebp+ClientId] ; Here is the bug, if

ClientId is pointing to an invalid address

.text:00010EEB cmp eax, [edi] ; it will crash.

.text:00010EED jnz short loc_10F0D

- -----------/

<*來源：Core Security

鏈接：http://marc.info/?l=bugtraq&m=120943082007527&w=2#3

http://www.matousec.com/info/articles/plague-in-security-software-drivers.php

*>

建議：

--------------------------------------------------------------------------------

廠商補丁：

Rising

------

目前廠商已經發佈了升級補丁以修復這個安全問題，請到廠商的主頁下載：

http://rsdownload.rising.com.cn/for_down/rsfree/ravolusrfree.exe

(