Corrección

Se recomienda encarecidamente a los usuarios que instalen los últimos parches de seguridad de Microsoft, ya que han resuelto este problema. Para aquellos que no puedan actualizar, Microsoft también ha proporcionado varias soluciones alternativas, que se pueden encontrar aquí: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21716.

CVE-2023-21716-POC

Pasos para Reproducir

1. Instale una versión vulnerable de Microsoft Office.
2. Descargue y ejecute el script RTF-creator.
3. Si no desea recrear el archivo, puede usar este archivo malicious.rtf que contiene 32761 fuentes y provocará el desbordamiento del búfer para bloquear el servicio.
4. Envíe el archivo .rtf por correo electrónico a la víctima; si tiene una versión vulnerable de Office, se activará la vulnerabilidad.

Lógica de Fondo

Usando WinDbg, podemos examinar más de cerca para entender la causa del bloqueo. Aquí está el proceso:

1. Inicie Microsoft Word.
2. Abra WinDbg y adjúntelo al proceso WINWORD.
3. Abra el archivo malicious.rtf con Word.

WinDbg se detendrá automáticamente cuando ocurra el bloqueo, permitiéndonos analizarlo más a fondo. Para empezar, podemos escribir 'k' para ver la pila de llamadas:

Nuestras dos bibliotecas clave son wwlib.dll, una biblioteca principal de Word que gestiona el contenido del documento como fuentes, texto y diseño, y ntdll.dll, que maneja tareas de bajo nivel como la gestión de memoria y el manejo de errores. El bloqueo ocurre cuando Word procesa una gran cantidad de fuentes del archivo RTF. Cuando ntdll.dll detecta que Word está intentando acceder o liberar memoria no válida (probablemente corrupta debido al desbordamiento de fuentes), genera un error de corrupción del heap, lo que provoca el bloqueo.

Para profundizar, podemos colocar un punto de interrupción en la última parte de la biblioteca wwlib para ver cómo se cargan nuestras fuentes en la memoria y entender qué desencadenó el problema:

bc * //delete all other breakpoints

bp wwlib!PTLS7::FsUpdateFinitePage+0x7e26f //create the breakpoint

Ahora obtenemos una violación de acceso:

Dado que detuvimos el programa antes, en el punto donde wwlib.dll está intentando acceder o modificar memoria no válida (en FsUpdateFinitePage), nos permite ver la violación de acceso inicial (que causa la corrupción de memoria), dándonos la oportunidad de inspeccionar qué salió mal antes de que ntdll.dll detecte el error de corrupción del heap.

Para ser más precisos, el programa se detuvo debido a una violación de acceso (código c0000005) en la instrucción mov word ptr [esi+edx2+4],cx dentro de la función wwlib!PTLS7::FsUpdateFinitePage+0x7635a. Este error indica que Word intentó acceder a una ubicación de memoria no válida, específicamente al intentar almacenar un valor (cx) en la memoria en la ubicación esi+edx2+4.

Si observamos más a fondo el registro ESI, podemos ver que contiene los datos de la fuente: Cada valor de 16 bits (dos bytes) en formato little-endian representa una entrada de fuente en el formato \fA;

El último valor representado dentro del ESI es f8 7f que corresponde a {\f32760A;} antes de llegar al final (simbolizado por 29-00)

Ahora que la tabla de fuentes está cargada en la ubicación de memoria señalada por el registro ESI, con un número tan grande de fuentes procesándose, la ubicación de memoria calculada (esi + edx*2 + 4) probablemente excede la memoria asignada para la tabla de fuentes. Esto resulta en una escritura fuera de los límites, causando un error de violación de acceso. La violación de acceso es detectada por ntdll.dll, que maneja la gestión de memoria y el reporte de errores. Como resultado, ntdll.dll invoca funciones que detectan la corrupción del heap, causando finalmente el bloqueo de la aplicación.