Akamai發現Windows新漏洞,收到附加音訊檔案Outlook信件就可能遭受RCE攻擊

Akamai研究人員在Windows中新發現兩個漏洞,分別是CVE-2023-35384與CVE-2023-36710,攻擊者可以連結這兩個漏洞,針對Outlook用戶展開零點擊遠端程式碼執行(Remote Code Execution,RCE)攻擊。目前微軟已經在2023年8月和10月發布修補程式碼,用戶只要安裝10月軟體更新,即可免受漏洞影響。

Akamai揭露的零點擊遠端程式碼執行攻擊,起源於今年3月的微軟更新,當時微軟針對CVE-2023-23397漏洞進行修補。該漏洞主要被俄羅斯國家資助的駭客集團Forest Blizzard濫用,透過誘導Outlook客戶端連接到攻擊者的伺服器,並在連接過程傳送NTLM憑證給攻擊者。之後攻擊者便可以離線破解憑證,或是將憑證用於中繼攻擊。

這個漏洞的特色在於,攻擊者無需用戶參與,就能透過網際網路遠端發動攻擊。要濫用CVE-2023-23397漏洞,攻擊者會先發送一封精心設計,帶有自動通知聲音的提醒電子郵件,Outlook客戶端在收到信件之後,便會從攻擊者控制的伺服器下載特殊的音訊檔案。雖然微軟在3月的更新中修補了該漏洞,但是Akamai研究人員卻又發現了能夠繞過修補程式的方法,並且指出該Outlook功能引入了巨大且複雜的攻擊面。

透過結合新發現的CVE-2023-35384與CVE-2023-36710,研究人員成功在Outlook上實現出完整的遠端程式碼執行攻擊鏈。CVE-2023-35384在這個攻擊鏈扮演關鍵角色,其牽涉Outlook中CreateFile和MapUrlToZone兩個函式在路徑解析的差異,研究人員利用這兩個函式對特定路徑的處理差異繞過安全檢查,迫使Outlook客戶端連接到惡意伺服器,而且這個方法也成功繞過微軟之前的修補。

而CVE-2023-36710則是一個存在於音訊壓縮管理器(ACM)程式碼中的整數溢位漏洞。當播放WAV檔案的時候,ACM便會呼叫msacm32.drv中的mapWavePrepareHeader函式,而這個函式存在一個整數溢位漏洞,由於在向GlobalAlloc傳遞加法結果時並沒有先檢查溢位,這使得攻擊者可以透過特定方式讓GlobalAlloc分配一個非常小的緩衝區,並使這個緩衝區溢位,進而可執行任意程式碼。

透過利用CVE-2023-35384建立的連接,攻擊者能夠傳送特製的WAV檔案到受害者的系統中,接著利用CVE-2023-36710中的漏洞來執行任意程式碼,這兩個漏洞共同構成了一個完整的攻擊鏈,允許攻擊者遠端控制受影響的系統。

Windows用戶只要安裝2023年10月的軟體更新即可受保護,而使用Exchange伺服器的Outlook客戶端,則在安裝2023年3月的軟體更新後,可免受漏洞影響。儘管這些漏洞都已經修復了,但研究人員指出,由於Outlook的攻擊面仍然存在,攻擊者還是可以繼續從該攻擊面中找到新漏洞。

Read More 

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *