Уязвимость в загрузке DLL есть в Microsoft Office — PoC

[JayDi]

Windows 7, Office 2010 — не работает.

[amirul]

Ну первый пост LeBlanc на эту тему датирован 2008-м, так что в 2006-м (когда был выпущен 2007-й офис) об этом могли и не задумываться, а в 2010-м уже запатчили. С другой стороны лично мне вообще ни хрена непонятно зачем пытаться грузить несуществующие dll-ки.

[sergei-grigorev]

Протестировал у себя на Windows XP SP 3 Pro + Office 2007. Запустило 3 калькулятора. Вывод — работает… хотя очень грустно становиться при этом (((

[sergei-grigorev]

Протестировал на Office 2003, нет калькуляторов )))
Видимо работает только на Office 2007

[amirul]

> Видимо работает только на Office 2007
К сожалению, на самом деле вряд ли. Ну то есть в 2010-м офисе скорее всего залатали полностью, а вот 2003-м не работает только данный конкретный PoC. Меня удивляет сам факт попытки загрузки pp7x32.dll, но если такая попытка была для одной dll, то вполне возможно будет и для какой нибудь другой.

Таки теперь я согласен с gribozavr: стоило совсем выбросить текущий каталог из дефолтного порядка загрузки, а для старых LoB приложений оставить галку на Compatibility табе.

[amirul]

Win7 x64/Office 2007 (x86) подтверждаю калькуляторы. Доберусь до 2010-го — проверю там

Вот бы еще поменьше экспресии и разговоров про «ниасиливших». Тот PoC, который был приведен в «недавнем топике» не работал и принципиально не мог работать, ибо riched20.dll преспокойно лежит в System32 и загружается именно оттуда. pp7x32.dll же — похоже вообще нет в системе и лично для меня загадка на хрена на нее делается LoadLibrary.

Но факт остается фактом: похоже, я чего то не знаю и попытки загрузки несуществующих dll-ок — более распространенное явление, чем мне казалось.

[gribozavr]

Тот PoC, который был приведен в «недавнем топике» не работал и принципиально не мог работать

Вы не поверите, но довольно часто в эксплоитах делают одну небольшую ошибку, чтобы немного оградить мир от кулхацкеров.

[Kalobok]

pp7x32.dll — это, похоже, опциональный компонент офиса (для работы с документами от старого PowerPoint, если гугль не врет). Видимо, эксплойт работает у тех, у кого этот компонент не установлен. Да, это, конечно, косяк МС. Но этой уязвимости очень далеко до ужасов, описанных в исходном посте.

[amarao]

Могу только позлорадствовать и ткнуть в свою статью о том, как от подобного можно защититься раз и навсегда.

[gribozavr]

Вы проверили? Ведь тут DLL запускается из доверенного EXE.

[amarao]

Ну, конкретно это мне и проверить негде (в силу отсутствия виндов дома и на работе), но я могу предположить, что в данном случае попытка загрузки DLL из запрещённого пути будет запрещена. Если нет, можно будет ещё раз сделать MS ручкой.

[gribozavr]

Насколько я знаю, через политики настраивается запрет, который проверяется в функции ShellExecute() в userspace. Естественно, этот запрет совершенно не мешает загружать DLL.

[amarao]

Простите, а опция «контролировать и DLL, и EXE» в настройках политики, это не контроль загрузки DLL?