Newsgroup: it.comp.os.win.xp
Titolo: [From Bugtraq] Remote overflow in MSIE script action handlers (mshtml.dll)

Giusto per rispondere ai recenti trolleggiamenti di P4 su icols, bisogna
ricordargli che c'è di peggio di cui preoccuparsi che 1 password di
default in un file di log.
In sintesi l'ennesima possibilità di eseguire codice da remoto
attraverso un IE6 fully patched su XP SP2 con 4 righe di html.
http://www.securityfocus.com/archive/1/427904/30/0/threaded
-------------- Messaggio Originale ------------------
Date: Thu, 16 Mar 2006 20:22:55 +0100 (CET)
From: Michal Zalewski <**********@***********>
To: bugtraq@**********.com
Cc: vulnwatch@**********.org, full-disclosure@**********.
org.uk
List-Subscribe: <mailto:
bugtraq-subscribe@
*****************.com>
Delivered-To: mailing list bugtraq@*****************.com
Subject: Remote overflow in MSIE script action handlers (mshtml.dll)
This might not come as a surprise, but there appears to be a *very*
interesting and apparently very much exploitable overflow in Microsoft
Internet Explorer (mshtml.dll).
.....
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4



 default in un file di log.
Postarlo due volte è un bijou che pochi possono apprezzare :D
-- 
~*Tyltyl*~ Powered by: Ubuntu 5.10 #405582
Neo-Apostolo open source della Prova in prova
Il buono di it.test - 
http://herne.altervista.org/
http://groups.google.it/group/Comitato-Di-Protesta-contro-Scirio

 attraverso un IE6 fully patched su XP SP2 con 4 righe di html.
Mi dispiace per te, ma come scritto chiaramente anche nel link che hai
indicato e anche nel bollettino di security focus
http://www.securityfocus.com/bid/17131/discuss
, il browser IE crasha
prima di poter eseguire codice (probabilmente scatta infatta la
protezione dai buffer overflow presente in IE6 SP2 che è infatti stato
compilato con quell'opzione).
Infatti securityfocus dice:
"This issue may be exploited by remote attackers to crash affected web
browsers. Remote code execution may also be possible, but this has not
been confirmed."
cioè dice che può essere usato per far crashare il browser, ma che
l'esecuzione di codice pur essendo teoricamente possibile, non è stato
confermato. Vedremo nei prossimi giorni se ciò è possibile, per il
momento è solo aria campata in aria. Intanto lo segnalo sul mio NG
privato.
test che fa crashare IE:
http://lcamtuf.coredump.cx/iedie.html
 
Saluti da P4

 privato.
Strano... In altre occasioni, relativamente ad altri software, le tue
valutazioni erano esattamente contrarie. Cosa sono, due pesi e due
misure in base alla simpatia?
Comunque tienilo d'occhio... ti prometto che se salta fuori che
l'esecuzione di codice è possibile, ti lascio fare l'annuncio per primo. :-)


 ha scritto:

ho provato la pagina su IE6 e mi dice errore di sintassi, ma non crasha!
Prima naturalmente ho eseguito la pagina con Firefox per vedere il
codice html e nessun problema,. 

 codice html e nessun problema,. 
Leggi prima le istruzioni contenute nel thread su bugtraq.
Essendo solo un PoC per funzionare richiede alcune azioni preliminari,
come la chiusura di tutte le istanze di IE preventivamente aperte.
Alcuni riportano che funzioni anche con l'ultima beta di IE7.


 l'esecuzione di codice è possibile, ti lascio fare l'annuncio per primo. :-)
Nel frattempo sia Mcafee che Symantec hanno rilasciato aggiornamenti
nelle loro firme per riconoscere un attacco da questo exploit.
Saluti da P4

 nelle loro firme per riconoscere un attacco da questo exploit.
E io che speravo che per una volta Microsoft arrivasse per prima a
correggere un bug dei suoi prodotti :-P


 correggere un bug dei suoi prodotti :-P
Il bug sarà corretto, come sempre.
Ma per ora si tratta solo di un DoS cioè in questo caso di un crash di
IE, anche se qualcuno sta provando a vedere se è possibile eseguire
codice; per il momento sembrerebbe di no.
http://isc.sans.org//diary.php?storyid=1198
 "While this is only a DoS
vulnerability at the moment, there is ongoing attempts to try to use
this as a vector for remote code execution"
Vedremo nei prossimi giorni cosa succederà. Intanto chi ha Mcafee o
Symantec (tanto criticato da molti, ma alla fine si rivela sempre il
migliore) ha il culo parato.
Saluti da P4

 Alcuni riportano che funzioni anche con l'ultima beta di IE7.
Con Internet Explorer 7.0.5335.5 appena uscita ieri e che sto usando
ora, non funziona cioè non crasha (appena fatto il test ora).
Saluti da P4

 codice; per il momento sembrerebbe di no.
Ed ecco che qualcosa si muove....
-----------------------------------------------------------------
Computer Terrorism  (UK) :: Incident Response Centre
Security Advisory :: CT22-03-2006
-------------------------------------------
Title:   Microsoft Internet Explorer (mshtml.dll) - Remote Code Execution
Organisation:  Computer Terrorism (UK)
Web:   
www.computerterrorism.com
Advisory Date:  22nd March, 2006
Affected Software:  Microsoft Internet Explorer 6.x, IE7 Beta 2
Severity:    Critical
Impact:   Remote System Access
Solution Status:  ** UNPATCHED **
Overview:
-------------
Pursuant to the publication of the aforementioned bug/vulnerability,
this document serves as a preliminary Security Advisory for users of
Microsoft Internet Explorer version 6 and 7 Beta 2.
Successful exploitation will allow a remote attacker to execute
arbitrary code against a fully patched Windows XP system, yielding
system access with privileges of the underlying user.
Technical Narrative:
-------------------------
As per the publication, the bug originates from the use of a
createTextRange() method, which, under certain circumstances, can lead
to an invalid/corrupt table pointer dereference.
As a result, IE encounters an exception when trying to call a deferenced
32bit address, as highlighted by the following sniplet of code.
0x7D53C15D MOV ECX, DWORD PTR DS:[EDI]
..
0x7D53C166 CALL DWORD PTR [ECX]
Due to the incorrect reference, ECX points to a very remote,
non-existent memory location, causing IE to crash (DoS).
However, although the location is some what distant, history dictates
that a condition of this nature is conducive towards reliable exploitation.
Proof of Concept:
-----------------------
Computer Terrorism (UK) can confirm the production of reliable proof of
concept (PoC) for this vulnerability (tested on Windows XP SP2).
However, until a patch is developed, we will NOT be publicly disclosing
our research.
Temporary Solution:
-------------------------
Users are advised to disable active scripting for non-trusted sites
until a patch is released.
Vendor Status:
--------------------
The Vendor has been informed of all aspects of this new vulnerability
(including PoC), but as of the date of the document, this vulnerability
is UNPATCHED.


 l'avevo ancora installato, crashava.
Meno male, ho saltato il pranzo dall'angoscia...
-- 
~*Tyltyl*~ Powered by: Ubuntu 5.10 #405582
Un impegno concreto: riportare it.test agli antichi splendori
Ciò che rimane di buono di it.test - 
http://herne.altervista.org/
http://groups.google.it/group/Comitato-Di-Protesta-contro-Scirio

 l'avevo ancora installato, crashava.
Anche Firefox 1.0.7 e 1.5.0.1 sembrerebbe affetto:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-1273
Mozilla Firefox 1.0.7 and 1.5.0.1 allows remote attackers to cause a
denial of service (crash) via an HTML tag with a large number of script
action handlers such as onload and onmouseover, which triggers the
crash when the user views the page source. 
Saluti da P4

 Come ti ho già detto e come scrivono anche loro, per ora è un crash.
Veramente loro scrivono che...
"Computer Terrorism (UK) can confirm the production of reliable proof of
concept (PoC) for this vulnerability"
che unito all'impatto
"Impact:   Remote System Access"
... significa, tradotto per te che hai difficoltà di comprensione, che
hanno una *prova* del fatto di poter *accedere* da remoto.
Per quanto riguarda l'invulnerabilità di IE7, non penso che gliene
freghi nulla a nessuno per il momento, essendo IE7 ancora in beta e
quindi installata solo presso un ridottissimo numero di "beta testers".
Peraltro è solo la beta rilasciata qualche giorno fa che non è
vulnerabile (che poi è ancora da confermare che non lo sia), quindi tali
numeri si riducono ulteriormente.
Il 90% dei PC consumer non ha IE7 ma ha ancora una versione vulnerabile
di IE6 o precedenti.
Sarebbe preferibile una patch tempestiva per questi, non per IE7. Se
questo restasse un colabrodo totale fino al rilascio sarebbe il minore
dei problemi.


 createTextRange() method
Non centra niente con la falla di cui si discuteva in questo thread che
hai aperto te e che stavamo discutendo.
Cioè sono 2 falle che interessano sempre la stessa libreria
mshtml.dll, ma sono 2 falle completamente diverse!
Quella su computer terrorism (fra l'altro scoperta da secunia)
interessa il metodo createTextRange() ed effettivamente consente
l'esecuzione di codice, mentre quella che hai citato tu aprendo questo
thread il 16 marzo che poi ti ho risposto dicendo che per ora è un
DoS, è questa
http://www.securityfocus.com/archive/1/427904/30/0/threaded
 ed è un
DoS dovuto alla incapacità di gestire un numero elevanto di eventi
(nell'esempio fornito da questo test:
http://lcamtuf.coredump.cx/silence/
 ci sono una marea di eventi
OnClick).
Saluti da P4

 hanno una *prova* del fatto di poter *accedere* da remoto.
Non centra niente con la falla di cui si discuteva in questo thread che
hai aperto te e che stavamo discutendo.
Cioè sono 2 falle che interessano sempre la stessa libreria
mshtml.dll, ma sono 2 falle completamente diverse!
Quella su computer terrorism (fra l'altro scoperta da secunia)
interessa il metodo createTextRange() ed effettivamente consente
l'esecuzione di codice, mentre quella che hai citato tu aprendo questo
thread il 16 marzo che poi ti ho risposto dicendo che per ora è un
DoS, è questa
http://www.securityfocus.com/archive/1/427904/30/0/threaded
 ed è un
DoS dovuto alla incapacità di gestire un numero elevanto di eventi
(nell'esempio fornito da questo test:
http://lcamtuf.coredump.cx/iedie.html
  ci sono una marea di eventi
OnClick). 
Saluti da P4

 Saluti da P4
Non è che sposti poi di molto il topic.
Esistono *DUE* vulnerabilità che affliggono IE6 fully patched e alcune
beta di IE7, non ancora patchate da Microsoft, ormai conosciute da + di
una settimana, per cui esistono su Internet degli exploit funzionanti e
di cui una consente *certamente* di eseguire codice.
Ancora una volta Microsoft si mostra lenta nel tappare le falle *gravi*
di IE.
Meditate gente, meditate.
