Обнаружена RCE-уязвимость в приложении Блокнот Windows

[powerman]

Откуда вообще в блокноте RCE? Он что, лазит куда-то по сети, или сам принимает подключения по сети? Блокнот?!

[DrunkBear]

Думаю, дело не в блокноте, а в фреймворке, на котором блокнот.

[kITerE]

В оригинале ничего не говориться про Remote:

That is obviously not a bug, this is a real exploit Took me all weekend to find good CFG gadgets.

— Tavis Ormandy (@taviso) May 28, 2019

Как по мне — больше похоже на механизм локальной миграции между процессами.

[paluke]

Вот скриншот то он зря выложил, это ничего не доказывает. Из системного диалога открытия файла легко что угодно запустить.

[FreeManOfPeace]

Это не системный диалог, это из какого то диспетчера задач скриншот. И он показывает что cmd.exe является процессом запущенным notepad.exe.

[loginsin]

Файл -> Открыть: Любой файл (*.*), путь: %SYSTEMROOT%. Ищем там cmd.exe, Right Click, Запустить. В (каком-то) диспетчере задач будет дочерний процесс cmd.exe.

Но это не как не вяжется с

Данная уязвимость связана с повреждением памяти.

[DavBD]

Скриншот из Process Explorer

[DrZlodberg]

Если бы он ещё сказал, в каких версиях… Блокнот за годы менялся незначительно и баг может быть даже в древних версиях времён ещё живых хп.

[shukan]

Судя по цвету это Process Explorer от Руссиновича.

Судя по уязвимости — то Вы открываете специально подготовленный (вирусный ) текстовый файл и при этом без Вашего участия запускается cmd.exe

А теоретически, если там переполнение памяти (буфера), то можно что угодно запустить. Я лично один раз так попал, когда открыл вирусный PDF файл — при этом запустился дроппер, дроппер скачал малварь, малварь села в реестр, в итоге закончилось восстановлением винды из бэкапа, потому что ни один антивирус не увидел малварь, настолько она была свежей.

[morgot]

В pdf традиционно много эксплойтов, потому что формат сложный + до какой-то там древней версии можно было js скрипт встраивать в пдфку. Как и для .doc-файлов, ибо там и СОМ, и макросы, и структура такая, что можно много чего накрутить. А в текстовом формате сложно вызвать переполнение буфера, тут же нет какого-то форматирования, структур… Хотя черт его знает. Но мне просто в голове не укладывается, как такое можно сделать (если это вообще не фейк);

Текст это же просто текст, читай да выводи. Врядли Майкрософт использует какие-то strcpy и прочие опасные функции, они же в 2005 году начали внедрять разные SAL в своей студии.
В общем, ждем ебилдов.

[ormoulu]

В твиттере намекают на эскалацию привилегий и системные токены. Возможно, все гораздо сложнее чем парсинг формата.

[loginsin]

Серьезно? Тогда бага не в блокноте, а в какой-то системной службе и тогда все гораздо печальней: любое приложение уровня пользователя может получить привилегии уровня служб.

[ormoulu]

Если честно, не могу придумать ничего печальнее rce в блокноте. Баг уровня легенд и анекдотов.

[ormoulu]

Кто-то должен был это найти рано или поздно :D Осталось научиться сохранятья в сапере.

Интересно, баг из ранних версий, или добавлен в десятке?

[ormoulu]

Если этому багу много лет, он появился еще в 7-xp-2000 и т.д., он аффектит системы разных версий. Если он связан с нововведениями десятки, аффектит только десятку.
В первом случае импакт шире. Я об этом.

[ormoulu]

Какие именно истории?

[ormoulu]

Хм, действительно, что-то такое припоминаю. Тем не менее, подобный баг в Блокноте, в 2019 году — это удивительно.

[alan008]

Все-таки автор наверно имел в виду не запуск cmd.exe через блокнот, а то что он как-то с удаленного компа используя уязвимость в запущенном на компе процессе notepad.exe смог как-то запустить cmd.exe. Не работая в этом блокноте, а посылая какие-то сетевые пакеты на комп. Иначе непонятно, причем тут RCE.

[ormoulu]

Уязвимости типа «открыл документ — получил исполнение» принято относить к rce, т.к. документ можно доставить на компьютер жертвы удаленно, например прислать по электронной почте или передать web ссылку.

[alan008]

Бред какой-то. Если бы при открытии документа в блокноте выполнялись бы автоматически какие-то команды cmd.exe, еще можно было бы это понять. А если просто запустить процесс — то чего ж в этом особенного. Если человек имеет физический доступ к компу и может запустить блокнот, то он может так же запустить и cmd.exe, но естественно со своим уровнем привилегий, не более того.
Фиговое описание, рановато для статьи.

[ormoulu]

cmd.exe в данном случае используется для демонстрации, другое популярное приложение для такого рода демонстраций (poc — proof-of-concept) это calc.exe. Очевидно, что запустить cmd.exe можно и с параметрами (см. cmd /k; cmd /c ). Человек в данном случае может не просто «запустить блокнот», а открыть документ, к примеру, пришедший по электронной почте — и получить выполнение кода злоумышленника. Как правило, со своим уровнем привилегий, но есть намеки что для данной конкретной уязвимости это не так.