ms07027 oday exp (utf16)
hemos estado trasteando con una serie de controles activex presentes en un windows 2000 server completamente parcheado, y el resultado ha sido que 25 de estos activex son vulnerables de una u otra manera (desde stack overflows hasta simples denegaciones de servicio por la ausencia de ciertos parámetros)
uno de los modulos que daba mas juego son los componentes del servicio "windows media", cuyos fallos han sido parcheados en el último boletin de microsoft ms07-027
el componente que vamos a comentar es el {d4fe6227-1288-11d0-9097-00aa004254a0} nmsa session des cription object (ver 1.0) gestionado por la libreria mdsauth.dll.
este componente tiene un método seguro llamado saveas que cuando es invocado escribe el fichero especificado en el disco.
el problema es que el contenido del fichero no es completamente controlable, por lo que solo ciertas cadenas de texto, especificadas como parámetro, llegarán a ser escritas en disco en ciertas partes del fichero.
de esta forma, el impacto que se puede obtener podría llegar a ser el siguiente:
- denegacion de servici sobreescribiendo librerias o ficheros válidos del sistema, como por ejemplo c:\boot.ini
- ejecución de códig si bien este supuesto no ha sido verificado, quizas sea posible, salvando el fichero en "%userprofile%\start up" como un fichero .bat, llegar a ejecutar alguno de los comandos especificados en el parámetro del componente.
para este último supuesto, tenemos un problema a?adido, y es que dichas cadenas son guardadas en unicode (utf16). en teoría sería posible especificar alguna cadena que trás algun tipo de encode llegue a ser válida al convertirse a utf16 y de ahi llegar a ejecutar comandos. si es posible o no, os lo dejamos como ejercicio para casa.
por último, os adjunto una prueba de concepto de la vulnerabilidad.
by:hackerszc oicq:83883886 msn:hackerszc@126.com
-- vendor response:
microsoft has issued an update to correct this vulnerability. more
details can be found at:
http://www.microsoft.com/technet/security/bulletin/ms07-027.mspx
