CVE-2020-0674

CVE-2020-0674 es una vulnerabilidad de use-after-free en el motor jscript heredado. Se puede activar en Internet Explorer. El exploit aquí está escrito por maxpl0it, pero la vulnerabilidad en sí fue descubierta por Qihoo 360 al ser utilizada en ataques reales. Este exploit simplemente abre la calculadora.

El análisis del exploit se puede encontrar aquí.

Resumen de la vulnerabilidad

• La vulnerabilidad existe en la función sort de Array cuando se utiliza una función comparadora.
• Los dos argumentos suministrados para la función comparadora no son rastreados por el recolector de basura y, por lo tanto, apuntarán a memoria liberada después de que se llame al GC.

Notas sobre el exploit

• El exploit fue escrito específicamente para Windows 7, pero probablemente podría adaptarse sin demasiado esfuerzo.
• Este exploit fue escrito para instancias x64 de IE, por lo que se ejecutará (y ha sido probado) en las siguientes configuraciones de navegador:
  • IE 8 (compilación x64)
  • IE 9 (compilación x64)
  • IE 10 (ya sea con el Modo protegido mejorado habilitado o con TabProcGrowth habilitado)
  • IE 11 (ya sea con el Modo protegido mejorado habilitado o con TabProcGrowth habilitado)
• Vale la pena señalar que el Modo protegido mejorado en Windows 7 simplemente habilita la versión x64 del proceso del navegador, por lo que no es tanto una evasión de sandbox sino que simplemente no hay sandbox adicional. Irónicamente, dado que este exploit es para x64, EPM en realidad permite que funcione.
• El exploit no está hecho para evadir EMET por completo (solo se ha implementado realmente una evasión de detección de stack pivot); sin embargo, la versión final (5.52) no parece activar EAF+ cuando se ejecuta el exploit, mientras que la 5.5 sí lo hace (al menos, en Windows 7 x64). Así que IE 11 en modo protegido mejorado con la configuración máxima de EMET habilitada permite el exploit.
• El exploit está muy comentado, pero para comprender mejor cómo funciona y qué hace en cada etapa, cambie var debug = false; a var debug = true; y abra la consola de desarrollador para ver el registro o manténgala cerrada y vea las ventanas emergentes alert en su lugar (que pueden ser un poco molestas).