История одного эксплойта или “бесконечный” 0-day: CVE-2010-1297

[amarao]

Я люблю фирму Adobe. Она №3 в моём списке самых любимых компаний. Она заботится о пользователях, она делает очень безопасный софт, она публикует исходные тексты под свободными лицензиями, она никогда не требует заведения уголовных дел против пользователей…

[Nemiroff]

[Rulexec]

ммм, обожаю этот сериал

[Levsha100]

Сколько уже обновлял страницу- все время этот коммент то минусуют, то плюсуют.
Вы хоть определитесь =)

[Narical]

Вот зачем ты это написал??7

[qehgt]

Огласите весь список, пожалуйста!

[amarao]

MS apple, adobe, 1c.

[EvilX]

Интересно. Между первыми двумя нет запятой.

[Zyava]

По Фрейду вышла опечатка.

[amarao]

Забыл название, она софт для парижского метро делала.

[Alibobaevich]

Microsoft: MS Paint.

З.ы. То, что в майкрософт делают далеко не весь софт действительно безопасным и стабильным, они все же делают безопасный софт.

[russum]

support.microsoft.com/kb/978706 — Microsoft Paint remote code execution.

[medvoodoo]

вы знаете, наверное обсолютно безопасного софта идущего в ногу со временем нет, а вот разница между появлением публичных эксплойтов и закрытием дыр у всех разная, некоторые стараются до этого не доводить, а некоторые в погоне за новыми рюшечками и баксиками на пользователей кладут большой болт, особенно в этом смысле радует ms.

[egorinsk]

Google Chrome?

Вы просто не понимате, есть подход при котром нанимается N индусоруких программистов и им поручают написать как можно скорее более-менее рабочую версию, а есть подход, когда сначала проектируется минимизирующая возмодность уязвимости архитектура. Есть приемы написания кода, позволяющие также минимизировть вероятность уязвимостей.

[grigoryvp]

Radmin? :)

[LMaster]

Недавно вышла новая статья из цикла «Exploit writing tutorial»:
Chaining DEP with ROP. Как раз, по теме ROP. Всем советую прочитать.

[sha1dy]

очень интересно, спасибо!

[Levsha100]

Автор очень хорошо пишет, даже мне, плоховастенько знающему английский, все понятно.

[Alibobaevich]

«Разработчики web-браузера Google Chrome сообщили об интеграции с состав браузера кода для просмотра PDF-документов, избавив пользователей от необходимости установки дополнительных плагинов или вызова внешних приложений. Начиная с выпущенной сегодня тестовой версии Chrome 6.0.437.1, для отображения PDF-документов будут задействованы те же средства, что используются для вывода обычных html-страниц. С точки зрения пользователя работа с PDF теперь мало отличима от просмотра HTML. Код для просмотра PDF создан с нуля и распространяется как открытый проект (доступен для Chromium).»

[Alibobaevich]

да, в этом и плюс данной фичи

[a5b]

Разве флеш в хроме исполняется в песочнице?

lwn.net/Articles/347547/

One additional, important area that is not covered by the sandbox are plugins like Flash… «our experience on Windows is that, in order for Flash to do all the things that various sites expect it to be able to do, the sandbox has to be so full of holes that it's rather useless».

[Rulexec]

за ту минуту «висения» нормальный человек просто снесёт процесс (ну или пойдёт покурить).

[Andrewus]

В среднем пользовательском компьютере минутное висение — обычное дело.
Вспомните любовь ноутбуко-вендоров к куче софта ненужного.

[RayZ]

Для кого как. :) Меня бы удивило бы такое поведение софта.

[andoriyu]

>В среднем пользовательском компьютере под управлением ОС Windows и напичканным продуктами от Adobe минутное висение — обычное дело.
fix

Для акробата и 5 минут висения еще ничего странного.

[Andrewus]

Очередной пункт для Стива на тему «Почему я не люблю Adobe»…

[InfernoZ]

столько новостей о сыре адоби и плохих коментариев этих новостей что я уже думаю удолить его… сыру сдесь не место

[Nesp]

Hurpy durp i love Flash!

[Levsha100]

Так под линуксом оно не запустится? %) Дайте мне вирус, скучно!

>>Обновление для Adobe Reader, устраняющее эту уязвимость, запланировано только на конец текущего месяца.
Возрадуемся %)

[EvilX]

Почему бы нет? Adobe Reader есть под Linux. Вопрос только в бинарнике.

[slesar]

Не, ну вот уроды. Майкрософт со своими браузерами голову дурит, а Адоби заплатку планирует на конец текущего месяца. Никто не думает о пользователе, только бы денег нагрести.

Я не против Flash, но раз такая херня, пошли они нахер, дайте уже HTML5.

[ValdikSS]

Казалось бы, причем здесь Flash?

[slesar]

Политика компании, она такая политика. Все продукты одинаково выпускаются. А я готов чисто из принципа отказываться от каких-то программ.

[a5b]

при том, что это дырка во флеше, а pdf используется лишь как носитель сжатого swf потока: blog.zynamics.com/2010/06/09/analyzing-the-currently-exploited-0-day-for-adobe-reader-and-adobe-flash/ (Часть 1)

[a5b]

The first interesting stream can be found in PDF object 1. It is a binary stream that starts with the three characters CWS, the magic value of compressed Flash SWF files headers. I dumped this stream to a file and it turned out to be a valid Flash file.

[a5b]

cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1297

… on Windows and Mac OS X, allow remote attackers to execute arbitrary code or cause a denial of service (memory corruption) via crafted SWF content, related to authplay.dll and the Actionscript Virtual Machine 2 (AVM2) newfunction instruction, as exploited in the wild in June 2010.

[chepa]

юзаем google docs

[Throwable]

Музончик классный. Кому интересно, это саундтрек из фильма Пи.
www.youtube.com/watch?v=CAEQuE-ygjA

[BugEater]

Поясните как происходит передача выполнения на шел-код?

[a5b]

По ссылке с cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1297 нашел разбор полетов:
blog.zynamics.com/2010/06/09/analyzing-the-currently-exploited-0-day-for-adobe-reader-and-adobe-flash/

Дырка в движке actionscript из флеша. А длл-ка флеша идет вместе с адоб ридером. Ошибка в реализации (проверки параметров) команды newfunction в JIT движке, приводящая к возможности нарушения целостности стека (часть 7 анализа).