Remediação

Os usuários são fortemente encorajados a instalar as atualizações de segurança mais recentes da Microsoft, pois elas resolveram este problema. Para aqueles que não podem atualizar, a Microsoft também forneceu várias soluções alternativas, que podem ser encontradas aqui: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-21716.

CVE-2023-21716-POC

Passos para Reproduzir

1. Instale uma versão vulnerável do Microsoft Office.
2. Baixe e execute o script RTF-creator.
3. Se não quiser recriar o arquivo, pode usar este arquivo malicious.rtf, que contém 32761 fontes e acionará o estouro de buffer para travar o serviço.
4. Envie o arquivo .rtf por e-mail para a vítima; se ela tiver uma versão vulnerável do Office, a vulnerabilidade será acionada.

Lógica de Fundo

Usando o WinDbg, podemos analisar mais de perto para entender a causa da falha. Aqui está o processo:

1. Inicie o Microsoft Word.
2. Abra o WinDbg e anexe-o ao processo WINWORD.
3. Abra o arquivo malicious.rtf usando o Word.

O WinDbg será interrompido automaticamente quando a falha ocorrer, permitindo-nos analisá-la mais a fundo. Para começar, podemos digitar 'k' para visualizar a pilha de chamadas:

Nossas duas principais bibliotecas são wwlib.dll, uma biblioteca principal do Word que gerencia o conteúdo do documento, como fontes, texto e layout, e ntdll.dll, que lida com tarefas de baixo nível do sistema, como gerenciamento de memória e tratamento de erros. A falha ocorre quando o Word processa um grande número de fontes do arquivo RTF. À medida que ntdll.dll detecta que o Word está tentando acessar ou liberar memória inválida (provavelmente corrompida devido ao excesso de fontes), gera um erro de corrupção de heap, levando à falha.

Para aprofundar, podemos definir um breakpoint na última parte da biblioteca wwlib para ver como nossas fontes estão sendo carregadas na memória e entender o que desencadeou o problema:

bc * //excluir todos os outros breakpoints

bp wwlib!PTLS7::FsUpdateFinitePage+0x7e26f //criar o breakpoint

Agora obtemos uma violação de acesso:

Como paramos o programa antes, no ponto em que wwlib.dll está tentando acessar ou modificar memória inválida (em FsUpdateFinitePage), isso nos permite ver a violação de acesso inicial (que causa a corrupção de memória), dando a chance de inspecionar o que deu errado antes que o erro de corrupção de heap seja detectado por ntdll.dll.

Para ser mais preciso, o programa parou devido a uma violação de acesso (código c0000005) na instrução mov word ptr [esi+edx2+4],cx dentro da função wwlib!PTLS7::FsUpdateFinitePage+0x7635a. Este erro indica que o Word tentou acessar um local de memória inválido, especificamente ao tentar armazenar um valor (cx) na memória no local esi+edx2+4.

Se olharmos mais para o registrador ESI, podemos ver que ele contém os dados da fonte: Cada valor de 16 bits (dois bytes) no formato little-endian representa uma entrada de fonte no formato \fA;

O último valor representado dentro de ESI é f8 7f, que corresponde a {\f32760A;} antes de chegarmos ao final (simbolizado por 29-00)

Agora que a tabela de fontes está carregada no local de memória apontado pelo registrador ESI, com um número tão grande de fontes sendo processado, o local de memória calculado (esi + edx*2 + 4) provavelmente excede a memória alocada para a tabela de fontes. Isso resulta em uma escrita fora dos limites, causando um erro de violação de acesso. A violação de acesso é detectada por ntdll.dll, que lida com o gerenciamento de memória e relatórios de erro. Como resultado, ntdll.dll invoca funções que detectam corrupção de heap, causando, em última instância, a falha do aplicativo.