문서화되지 않은 Edge 기능으로 인해 Internet Explorer 보안이 손상됨

우리는 이미 썼다 특별히 준비된 MHT 파일을 사용하여 사용자 컴퓨터에서 원격 서버로 정보를 다운로드할 수 있는 Internet Explorer의 제로데이 취약점이 발견되었습니다. 최근 보안 전문가 John Page가 발견한 이 취약점은 이 분야의 또 다른 유명 전문가인 보안 감사 회사인 ACROS Security의 이사이자 마이크로패치 서비스 0patch의 공동 창립자인 Mitya Kolsek을 확인하고 연구하기로 결정했습니다. 그 출판 이는 Microsoft가 문제의 심각성을 상당히 과소평가했음을 나타냅니다.

이상하게도 Kolsek은 John이 설명하고 시연한 공격을 처음에는 재현할 수 없었습니다. John은 Windows 7에서 실행되는 Internet Explorer를 사용하여 악성 MHT 파일을 다운로드하고 열었습니다. 그의 프로세스 관리자는 자신에게서 훔칠 예정이었던 system.ini를 MHT 파일에 숨겨진 스크립트로 읽었지만 원격 서버로 전송하지 않았음을 보여줬습니다.

Kolsek은 "이것은 전형적인 웹 마크 상황처럼 보였습니다."라고 썼습니다. “인터넷에서 파일이 수신되면 웹 브라우저 및 이메일 클라이언트와 같은 Windows 응용 프로그램을 올바르게 실행하면 해당 파일에 다음 형식의 레이블을 추가합니다. 대체 데이터 스트림 ZoneId = 3 문자열을 포함하는 Zone.Identifier로 명명됩니다. 이를 통해 다른 응용 프로그램은 파일이 신뢰할 수 없는 소스에서 왔으므로 샌드박스나 기타 제한된 환경에서 열어야 함을 알 수 있습니다."

연구원은 IE가 실제로 다운로드한 MHT 파일에 대해 이러한 레이블을 설정했음을 확인했습니다. 그런 다음 Kolsek은 Edge를 사용하여 동일한 파일을 다운로드하고 MHT 파일의 기본 응용 프로그램으로 남아 있는 IE에서 열려고 했습니다. 예기치 않게 익스플로잇이 작동했습니다.

먼저, 연구원이 "web-of-the-Web"을 확인한 결과 Edge는 보안 식별자 외에 대체 데이터 스트림에 파일 원본 소스도 저장하는 것으로 나타났습니다. 이는 이 파일의 개인 정보 보호와 관련하여 몇 가지 의문을 제기할 수 있습니다. 방법. Kolsek은 추가 행이 IE를 혼란스럽게 하고 SID를 읽지 못하게 할 수 있다고 추측했지만, 알고 보니 문제는 다른 곳에 있었습니다. 오랜 분석 끝에 보안 전문가는 MHT 파일을 읽을 수 있는 권한을 특정 시스템 서비스에 추가한 액세스 제어 목록의 두 항목에서 원인을 발견했습니다. Edge는 이를 로드한 후 거기에 추가했습니다.

제로데이 취약점 전담팀의 James Foreshaw - Google Project Zero - 자극 받다 Edge에서 추가한 항목이 Microsoft.MicrosoftEdge_8wekyb3d8bbwe 패키지의 그룹 보안 식별자를 참조한다고 트윗했습니다. 악성 파일의 액세스 제어 목록에서 SID S-1-15-2 - *의 두 번째 줄을 제거한 후 익스플로잇은 더 이상 작동하지 않았습니다. 결과적으로 Edge에서 추가한 권한으로 인해 해당 파일이 IE의 샌드박스를 우회할 수 있게 되었습니다. Kolsek과 그의 동료가 제안한 것처럼 Edge는 이러한 권한을 사용하여 부분적으로 격리된 환경에서 파일을 실행함으로써 신뢰도가 낮은 프로세스의 액세스로부터 다운로드한 파일을 보호합니다.

다음으로 연구원은 IE의 보안 시스템이 실패하는 원인을 더 잘 이해하고 싶었습니다. 프로세스 모니터 유틸리티와 IDA 디스어셈블러를 사용한 심층 분석 결과 Edge의 설정된 해상도로 인해 Win Api 함수 GetZoneFromAlternateDataStreamEx가 Zone.Identifier 파일 스트림을 읽지 못하고 오류가 반환된 것으로 나타났습니다. Internet Explorer의 경우 파일의 보안 레이블을 요청할 때 이러한 오류가 발생하는 것은 전혀 예상치 못한 일이었고 브라우저는 해당 오류가 파일에 "웹 표시" 표시가 없다는 사실과 동일하다고 간주한 것으로 보입니다. IE가 MHT 파일에 숨겨진 스크립트를 실행하고 대상 로컬 파일을 원격 서버로 보내는 것을 허용한 이유는 자동으로 신뢰할 수 있게 만듭니다.

“여기서 아이러니한 점이 보이시나요?” 콜섹에게 묻습니다. "Edge에서 사용하는 문서화되지 않은 보안 기능은 Internet Explorer의 의심할 여지 없이 훨씬 더 중요한 기존(웹 표시) 기능을 무력화했습니다." 

악의적인 스크립트를 신뢰할 수 있는 스크립트로 실행할 수 있게 하는 취약점의 중요성이 커졌음에도 불구하고 Microsoft가 버그가 수정된다면 언제든지 이를 수정할 계획이 있다는 징후는 없습니다. 따라서 이전 기사에서와 같이 MHT 파일을 여는 기본 프로그램을 최신 브라우저로 변경하는 것이 좋습니다.

물론 Kolsek의 연구는 약간의 자기 홍보 없이 진행되지 않았습니다. 기사 끝부분에서 그는 자신의 회사에서 개발한 0patch 서비스를 사용할 수 있는 어셈블리 언어로 작성된 작은 패치를 시연했습니다. 0patch는 사용자 컴퓨터의 취약한 소프트웨어를 자동으로 감지하고 문자 그대로 즉시 작은 패치를 적용합니다. 예를 들어, 우리가 설명한 경우 0patch는 GetZoneFromAlternateDataStreamEx 함수의 오류 메시지를 네트워크에서 수신된 신뢰할 수 없는 파일에 해당하는 값으로 대체하므로 IE는 내장된 스크립트에 따라 숨겨진 스크립트가 실행되는 것을 허용하지 않습니다. 보안 정책에서.

출처 : 3dnews.ru