Resumen del problema

Un análisis completo del problema, así como las técnicas utilizadas en el exploit, se describirán en un próximo artículo en doar-e.github.io.

Organización

El exploit ha sido probado en Windows 19H2 de 64 bits y está dirigido a una compilación personalizada de Firefox, así que no se sorprenda si se requiere un poco de trabajo para que funcione en otros lugares :). Sin embargo, si solo tiene ganas de ejecutar el exploit sin compilar nada, preparé un navegador empaquetado que subí en release/firefox-68.0a1.en-US.win64.7z. También incluye el shell js.exe así como información de símbolos privados para js.exe, firefox.exe y xul.dll.

El exploit asume que el soporte para BigInt está activado en Firefox, lo cual puede hacer alternando javascript.options.bigint en about:config.

El proceso de explotación utiliza una corrupción de datos para obtener ejecución de JS privilegiado, también conocido como God Mode (que es básicamente una implementación de una técnica utilizada en Pwn2Own2014 por Jüri Aedla), lo cual es muy diferente (y mucho más conveniente) de la forma en que exploté CVE-2019-9810. Esto significa que no hay secuestro de flujo de control durante la cadena de explotación.

1. El exploit utiliza CVE-2019-9810 para realizar la corrupción de datos de God Mode y actualiza la página actual.
2. Una vez que puede ejecutar JS privilegiado, encuentra el administrador de mensajes del marco actual y desencadena CVE-2019-11708.
3. Ahora que el proceso padre ha visitado nuestra página arbitraria, explotamos CVE-2019-9810 nuevamente y obtenemos ejecución de JS privilegiado allí también.
4. En este punto, todo el navegador (incluida la sandbox) está comprometido. La primera etapa es descargar y soltar una carga útil local llamada slimeshady.exe que puede encontrar en payload/, la cual dibuja un montón de sprites animados de Slime shady en el escritorio con GDI. El exploit también suelta e inyecta un script de marco (JS privilegiado) en cada pestaña para poner un backdoor en toda la navegación (tanto pestañas ya creadas como las recién creadas). El backdoor en las pestañas es similar en efecto a CVE-2019-9810/payload (JS arbitrario inyectado en cada pestaña), pero esta vez se implementa utilizando una característica de Firefox (Services.mm.loadFrameScript) en lugar de hacks sucios y poco elegantes.

En realidad, hay muchos detalles más sutiles que no se describen arriba, así que si está interesado, está invitado a buscar la verdad y leer las fuentes / el artículo futuro :).

ACTUALIZACIÓN 13 de junio de 2020: Según @rtfingc / Issue #1, Mozilla ha mitigado la corrupción de datos presentada en este exploit con un commit del 10 de febrero de 2020: Bug 1602485.

Construcción de la carga útil

Para construir la carga útil, solo tiene que ejecutar nmake desde un símbolo del sistema de VS 2017 x64.

Esto crea un archivo payload.exe / payload.pdb dentro del directorio payload\bin.

Construcción de Firefox

Escribí este exploit contra una compilación local de Windows sincronizada con el siguiente id de revisión: 2abb636ad481768b7c88619080cf224b2c266b2d (si no quiere compilarlo usted mismo, he subido mi compilación aquí: release/firefox-68.0a1.en-US.win64.7z):

Y he usado el siguiente archivo mozconfig: