Firefox CVE-2024-9680

CVE-2024-9680

Описание

Злоумышленник смог добиться выполнения кода в контентном процессе, используя уязвимость use-after-free в временных шкалах анимации. У нас есть сообщения об эксплуатации этой уязвимости в реальных условиях. Эта уязвимость затрагивает Firefox < 131.0.2, Firefox ESR < 128.3.1, Firefox ESR < 115.16.1, Thunderbird < 131.0.1, Thunderbird < 128.3.1 и Thunderbird < 115.16.0.

tl;dr (Видеоверсия)

Автор: Fireship

Эксплуатация Use-After-Free?!

Уязвимость типа «use-after-free» — это разновидность проблемы повреждения памяти, которая возникает, когда программа продолжает использовать указатель (или ссылку) на память после того, как она была освобождена (деаллоцирована). Это опасное состояние, поскольку память больше не принадлежит программе, то есть она может быть переназначена для других целей или изменена другими частями программы. Если программа продолжает использовать эту освобождённую память, это может привести к непредсказуемому поведению, включая сбои, повреждение данных или эксплуатацию злоумышленниками.

Разбор уязвимости:

1. Выделение и освобождение памяти:

   • Во многих языках программирования, особенно в C и C++, память управляется вручную. Разработчики выделяют память, когда она нужна (например, с помощью функций malloc() или new), и освобождают её, когда она больше не нужна (например, с помощью free() или delete).

2. Проблема:

   • Проблема use-after-free возникает, когда указатель всё ещё указывает на память, которая уже была освобождена. Если программа позже попытается прочитать или записать в эту память, могут произойти неожиданные вещи, поскольку память может быть перераспределена другой части программы, изменена или даже недоступна для безопасного использования.

3. Последствия:

   • Сбой: программа может попытаться получить доступ к недопустимой или повреждённой памяти, что приведёт к сбою.
   • Повреждение данных: программа может непреднамеренно перезаписать или прочитать не те данные, что вызовет повреждение.
   • Эксплуатация в целях безопасности: злоумышленники могут использовать уязвимости типа use-after-free, манипулируя пространством памяти программы. Например, если злоумышленник может разместить контролируемые данные в освобождённой памяти, он может потенциально выполнить произвольный код, изменить поток выполнения программы или получить несанкционированный доступ.

Пример сценария:

Рассмотрим упрощённый пример на C:

#include <stdlib.h>
#include <stdio.h>

int main() {
    int *ptr = (int *)malloc(sizeof(int)); // Выделение памяти
    *ptr = 42;                             // Использование выделенной памяти
    free(ptr);                             // Освобождение памяти

    // Использование указателя после освобождения памяти (use-after-free)
    printf("%d\n", *ptr);                  // Неопределённое поведение, возможный сбой или эксплуатация
    return 0;
}

В примере:

• Память выделяется для целого числа, и ему присваивается значение 42.
• Затем память освобождается с помощью free(ptr).
• После освобождения памяти указатель ptr всё ещё используется (разыменовывается в операторе printf()), что приводит к неопределённому поведению. Память могла быть перераспределена, и доступ к ней может привести к сбою или, в более опасном сценарии, к эксплуатации программы.

Потенциал эксплуатации:

Злоумышленники могут эксплуатировать уязвимости use-after-free, тщательно манипулируя управлением памятью. Вот как злоумышленник мог бы потенциально использовать эту уязвимость:

1. Перераспределение памяти: после освобождения памяти, если злоумышленник может контролировать, какие данные попадут в эту освобождённую память, он может заставить программу использовать эти новые данные вместо исходных.
2. Внедрение кода: в определённых случаях злоумышленник может внедрить вредоносный код в расположение памяти, что позволит ему перехватить поток управления программой, что приведёт к удалённому выполнению кода или повышению привилегий.

Меры защиты:

Чтобы предотвратить уязвимости use-after-free, разработчики могут:

• Устанавливать указатели в NULL после освобождения: это гарантирует, что если указатель случайно будет использован после освобождения, программа более предсказуемо завершится или будет вести себя контролируемо, а не получит доступ к недействительной памяти.
• Умные указатели: в таких языках, как C++, использование умных указателей (например, std::shared_ptr, std::unique_ptr) может помочь автоматически управлять памятью, снижая вероятность ошибок ручного управления памятью.
• Проверка границ и санитайзеры: используйте такие инструменты, как AddressSanitizer (ASan), которые помогают выявлять состояния use-after-free во время разработки.

Как временная шкала CSS-анимации использовала эту ошибку

В данном конкретном случае временная шкала CSS-анимации (CSS Animation Timeline), которая отвечает за управление временными параметрами анимации на веб-странице, взаимодействовала с другими компонентами браузера таким образом, что объект, связанный с временной шкалой анимации, был освобождён, но браузер продолжал его использовать.