CVE-2016-4117-Report

Eine grundlegende Beschreibung der Schwachstelle und wie sie ausgenutzt werden kann.

Eine kritische Schwachstelle (CVE-2016-4117) existiert in Adobe Flash Player 21.0.0.226 und früheren Versionen für Windows, Macintosh, Linux und Chrome OS. Eine erfolgreiche Ausnutzung könnte einen Absturz verursachen und einem Angreifer potenziell die Kontrolle über das betroffene System ermöglichen [2]. Angenommen, Sie erhalten eine E-Mail mit einem MS Office-Dokument von jemandem oder laden ein MS Office-Dokument herunter, das auf einem DDNS-Server gehostet wird. Wenn dieses MS Office-Dokument speziell vom Angreifer erstellt wurde, der diese Schwachstelle ausnutzen möchte, werden vermutlich die folgenden Aktionen ausgeführt.

1. Sie öffnen das MS Office-Dokument auf einem System, auf dem Flash Player 21.0.0.226 oder früher, aber nicht älter als 21.0.0.196 [6] ausgeführt wird.
2. Sie sehen den Flash-basierten Inhalt im Dokument und der Exploit wird ausgelöst.
3. Ihr Computer verbindet sich mit einem Angreiferserver und lädt eine schädliche Nutzlast herunter.
4. Sie sehen ein Täuschungsdokument und erkennen möglicherweise nichts Bösartiges, aber Ihr System ist kompromittiert und möglicherweise Teil eines Botnetzes, das auf Anweisungen von einem Command-and-Control-Server (C&C) wartet [Weitere Informationen finden Sie im Abschnitt mit technischen Details].

Welche Systeme sind betroffen?

Alle Windows-, Macintosh-, Linux- und Chrome-OS-Plattformen, auf denen Adobe Flash Player 21.0.0.226 oder früher ausgeführt wird, sind von der Schwachstelle CVE-2016-4117 betroffen.

Was kann getan werden, um die Schwachstelle zu entschärfen?

Adobe hat CVE-2016-4117 am 12. Mai 2016 behoben und empfiehlt Benutzern, ihre Produktinstallation gemäß den Anweisungen im Sicherheitsbulletin [2] auf die neuesten Versionen zu aktualisieren. Zusätzlich können Benutzer auch die Verwendung von Adobe Flash Player vermeiden, wenn dieser für ihre Systeme nicht erforderlich ist.

Ist Exploit-Code verfügbar?

Ja. Es gibt kein Metasploit-Modul für CVE-2016-4117, aber die folgenden Schritte können befolgt werden, um beliebig Speicher auszulesen und zu beschreiben.

1. Der Angreifer definiert einen Eigenschaftsnamen wie „placement“, der mit dem internen Schnittstellennamen in com.adobe.tvsdk.mediacore.timeline.operations.DeleteRangeTimelineOperation in Konflikt steht.
2. Ein Aufruf der Schnittstelle „placement“ veranlasst nun die ActionScript-VM, die interne Funktion getBinding aufzurufen, um die Bind-ID zu erhalten.
3. Da die Eigenschaft „placement“ mit dem Schnittstellennamen in Konflikt steht, kann der Angreifer die Bind-ID manipulieren und einen Konflikt erzeugen.
4. Um Shellcode zur Steuerung des Speichers einzuschleusen, definiert der Exploit ein Objekt, das ByteArray mit unterscheidbaren Werten erweitert. Die unterscheidbaren Werte helfen dem Exploit, die Objekte im Speicher leicht zu lokalisieren.
5. Die Eigenschaft „placement“ kann nun die Bind-ID manipulieren, um außerhalb der Grenzen zu lesen und auf das erweiterte ByteArray zu verweisen, das den Shellcode enthält.
6. Während der im ByteArray vorhandene Shellcode ausgeführt wird, hat der Angreifer die Möglichkeit, eines der Objekte zu korrumpieren, um seine Länge auf 0xffffffff (hoher Speicher) und seinen Datenpuffer auf Adresse 0 zu erweitern, d.h. das Objekt kann den gesamten Inhalt des Speichers (RAM) lesen und schreiben.
7. Wenn das System beispielsweise ein Webserver ist, kann der private Schlüsselwert, der im Speicher gespeichert ist, vom Exploit ausgelesen und die Identität des Webservers kompromittiert werden [3].

Wie könnten sich Ausnutzungsaktivitäten auf anfällige Systeme auswirken?

Angenommen, das zugrundeliegende System ist ein Ubuntu-basierter Webserver, auf dem Adobe Flash Player Version 21.0.0.226 oder früher, aber nicht älter als 21.0.0.196, ausgeführt wird. Wie im vorherigen Abschnitt erläutert, ermöglicht der erfolgreiche Exploit dem Angreifer, den Inhalt des Speichers zu lesen und zu schreiben. Es sind viele verschiedene Arten von Systemkompromittierungen möglich. Einige der möglichen Kompromittierungen sind unten aufgeführt.

1. Der Angreifer erlangt den gesamten Speicherinhalt und sendet ihn an C&C-Server.
2. Der Angreifer löscht den Speicher, was zu Unterbrechungen einiger Dienste oder zum Absturz von Programmen führen kann.
3. Der Angreifer installiert eine Hintertür, damit der kompromittierte Host in Zukunft zugänglich ist.
4. Der Angreifer extrahiert sensible Informationen wie private Schlüssel, Passwörter (in einigen Fällen möglich).
5. Der Angreifer führt strace oder ein Debugger-Tool aus, um sich an den laufenden Prozess anzuhängen, um mögliche Systemaufrufe/Variablen zu finden und die Werte von Systemaufrufen/Variablen zu ändern.
6. Der Angreifer übernimmt die vollständige Kontrolle über das System und zerstört es vollständig.

Referenz

1. http://www.cvedetails.com/cve/CVE-2016-4117/
2. https://helpx.adobe.com/security/products/flash-player/apsa16-02.html
3. https://www.fireeye.com/blog/threat-research/2016/05/cve-2016-4117-flash-zero-day.html
4. https://www.proofpoint.com/us/threat-insight/post/microsoft-word-intruder-8-adds-support- for-flash-vulnerability
5. http://malware.dontneedcoffee.com/2016/05/cve-2016-4117-flash-up-to-2100213-and.html
6. http://blog.morphisec.com/flash-vulnerability-cve-2016-4117