CVE-2016-4117-Report

Uma descrição básica da vulnerabilidade e como ela pode ser explorada.

Existe uma vulnerabilidade crítica (CVE-2016-4117) no Adobe Flash Player 21.0.0.226 e versões anteriores para Windows, Macintosh, Linux e Chrome OS. A exploração bem-sucedida pode causar uma falha e potencialmente permitir que um atacante assuma o controle do sistema afetado [2]. Considere que você recebeu um e-mail contendo um documento do MS Office de alguém ou baixou um documento do MS Office hospedado em um servidor DDNS. Se este documento do MS Office for especialmente criado pelo atacante que pretende explorar esta vulnerabilidade, então as seguintes ações possivelmente ocorrerão.

1. Você abre o Documento do MS Office em um sistema que executa o Flash Player 21.0.0.226 ou anterior, mas não anterior a 21.0.0.196 [6]
2. Você verá o conteúdo baseado em Flash no documento e o exploit é acionado
3. Seu computador se conecta ao servidor do atacante e baixa um payload malicioso
4. Você verá um documento isca e pode não reconhecer nada malicioso, mas seu sistema está comprometido e possivelmente faz parte de uma Botnet aguardando instruções do servidor de Comando e Controle (C&C) [Consulte a seção de detalhes técnicos para mais informações]

Quais sistemas são impactados?

Todas as plataformas Windows, Macintosh, Linux e Chrome OS que executam o Adobe Flash Player 21.0.0.226 ou anterior são impactadas pela vulnerabilidade CVE-2016-4117.

O que pode ser feito para mitigar a vulnerabilidade?

A Adobe corrigiu o CVE-2016-4117 em 12 de maio de 2016 e recomendou que os usuários atualizem sua instalação do produto para as versões mais recentes usando as instruções referenciadas no boletim de segurança [2]. Além disso, os usuários também podem evitar o uso do Adobe Flash Player se ele não for necessário para seus sistemas.

O código de exploração está disponível?

Sim. Não existe módulo Metasploit para CVE-2016-4117, mas os seguintes passos podem ser seguidos para ler e escrever arbitrariamente na memória

1. O atacante define um nome de propriedade como "placement" que entra em conflito com o nome da interface interna em com.adobe.tvsdk.mediacore.timeline.operations.DeleteRangeTimelineOperation
2. Agora, a chamada para a interface "placement" faz com que a ActionScript VM chame a função interna getBinding para obter o id de vínculo
3. Como a propriedade "placement" está em conflito com o nome da interface, o atacante pode manipular o id de vínculo e criar conflito
4. Para introduzir shell code para controlar a memória, o exploit define um objeto que estende ByteArray com valores distintos. Os valores distintos ajudam o exploit a localizar os objetos na memória facilmente
5. A propriedade "placement" agora pode manipular o id de vínculo para ler fora dos limites e apontar para o ByteArray estendido que contém shell code
6. Como o shell code presente no ByteArray está sendo executado, o atacante tem a capacidade de corromper um dos objetos para estender seu comprimento para 0xffffffff (alta memória) e seu buffer de dados para o endereço 0, ou seja, o objeto é capaz de ler e escrever todo o conteúdo da memória (RAM)
7. Como exemplo, se o sistema for um servidor web, o valor da chave privada armazenado na memória pode ser lido pelo exploit e comprometer a identidade do servidor web [3]

Como as atividades de exploração podem impactar sistemas vulneráveis?

Considere que o sistema subjacente é um servidor web baseado em Ubuntu executando Adobe Flash Player versão 21.0.0.226 ou anterior, mas não anterior a 21.0.0.196. Conforme explicado na seção anterior, o exploit bem-sucedido permite que o atacante leia e escreva o conteúdo da memória. Existem muitos tipos diferentes de comprometimento do sistema possíveis. Alguns dos possíveis comprometimentos estão listados abaixo

1. O atacante adquire todo o conteúdo da memória e o envia para servidores C&C
2. O atacante descarrega a memória, o que pode causar interrupção em alguns serviços ou falha de programas
3. O atacante instala uma backdoor para que o host comprometido possa ser acessado no futuro
4. O atacante extrai informações sensíveis como chaves privadas, senhas (possível em alguns casos)
5. O atacante executa strace ou utilitário de depuração para anexar ao processo em execução para encontrar possíveis chamadas de sistema/variáveis e alterar os valores das chamadas de sistema/variáveis
6. O atacante assume o controle total do sistema e o destrói completamente

Referência

1. http://www.cvedetails.com/cve/CVE-2016-4117/
2. https://helpx.adobe.com/security/products/flash-player/apsa16-02.html
3. https://www.fireeye.com/blog/threat-research/2016/05/cve-2016-4117-flash-zero-day.html
4. https://www.proofpoint.com/us/threat-insight/post/microsoft-word-intruder-8-adds-support- for-flash-vulnerability
5. http://malware.dontneedcoffee.com/2016/05/cve-2016-4117-flash-up-to-2100213-and.html
6. http://blog.morphisec.com/flash-vulnerability-cve-2016-4117