当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2015-0146580

漏洞标题：猎豹免费wifi驱动可利用漏洞

相关厂商：金山网络

漏洞作者： iometer

提交时间：2015-10-14 00:37

修复时间：2016-01-12 06:06

公开时间：2016-01-12 06:06

漏洞类型：非授权访问/认证绕过

危害等级：高

自评Rank：11

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2015-10-14： 细节已通知厂商并且等待厂商处理中
2015-10-14： 厂商已经确认，细节仅向厂商公开
2015-10-17： 细节向第三方安全合作伙伴开放（绿盟科技、唐朝安全巡航）
2015-12-08： 细节向核心白帽子及相关领域专家公开
2015-12-18： 细节向普通白帽子公开
2015-12-28： 细节向实习白帽子公开
2016-01-12： 细节向公众公开

简要描述：

猎豹免费WiFi电脑版liebaonat_xp.sys，存在任意地址写入漏洞，写入的地址可控，可以实现内核任意指令执行目的.

详细说明：

驱动liebaonat_xp.sys在处理发给设备LiebaoNAT的IoControlCode为0x830020F0的通信时，由于没有严格校验输入输出参数，导致出现一个任意地址写入漏洞，写入的地址可控/写入的数据长度为4B，可以实现内核任意指令执行目的.
IoControlCode为0x830020F0时，InputBuffer是一个内核地址指针，可在UserMode预测甚至遍历出来; InputBufferSize为sizeof(PVOID); 驱动臆测OutputBuffer和OutputBufferSize对应一个4B的UserMode地址——漏洞因此产生。

NTSTATUS __stdcall DeviceDispatch(PDEVICE_OBJECT DeviceObject, PIRP Irp)
{
    PIO_STACK_LOCATION irpSp = IoGetCurrentStackLocation();
    NTSTATUS Status = STATUS_SUCCESS;   
    PVOID* inputBuffer = Irp->AssociatedIrp.SystemBuffer;
    PVOID* outputBuffer = Irp->AssociatedIrp.SystemBuffer;      
    ULONG  InputBufLength = irpSp->Parameters.DeviceIoControl.InputBufferLength;
    ULONG  IoControlCode = irpSp->Parameters.DeviceIoControl.IoControlCode;
    if(IoControlCode == 0x830020F0)
    {
        if ( InputBufLength >= 4 ) // wowo....
        {
            PVOID* lpBuf = CheckExploit(*inputBuffer, &IoControlCode);
            if ( lpBuf )
            {
                *outputBuffer = lpBuf[143];
                Status = STATUS_SUCCESS;
            }
            else
            {
                Status = NDIS_STATUS_ADAPTER_NOT_FOUND;
            }
            Irp->IoStatus.Status = Status;
            Irp->IoStatus.Information = 4;
            return Status;
        }
    }
    ...
}

漏洞证明：

//示例程序:执行0xEB 0xFE实现内核线程死循环;
//下载链接http://pan.baidu.com/s/1pJFy783

修复方案：

严格校验输入和输出缓冲区地址及大小.

版权声明：转载请注明来源 iometer@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：8

确认时间：2015-10-14 06:05

厂商回复：

感谢提交

最新状态：

暂无