首页 > 安全研究 > 安全通报 > 安全通告

微软IE 0DAY XXE漏洞安全通告

发布时间 2019-04-15

漏洞编号和级别


CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定


影响版本


IE 11，影响 Windows 7、10和 Server 2012 R2 版本


漏洞概述


研究人员John Page公开了一个可导致黑客从Windows系统中窃取文件的 IE 浏览器 0day 漏洞的详情和 PoC 代码。该漏洞为存在于 IE 11 中的XXE外部实体注入漏洞，存在于 IE 处理 MHT 文件的方式中，影响 Windows 7、10和 Server 2012 R2 版本。


MHT即“MHTML Web Archive”，是所有 IE 浏览器保持网页（点击 CTRL+S）的默认标准。虽然现代浏览器不再以 MHT 格式保存网页，而是使用标准的 HTML 文件格式，然而很多现代浏览器仍然支持处理该格式。

漏洞验证


Page 表示，IE浏览器易受XML外部实体攻击，前提是用户在本地打开一个特殊构造的 .MHT 文件。

它可导致远程攻击者窃取本地文件并远程侦察本地安装的程序版本信息。例如，”c:\python27\NEWS.txt”的请求可访问该程序的版本信息。


本地打开恶意“.MHT”文件后，它应该会启动 IE 浏览器。之后，用户交互如重复选项卡“Ctrl+K”。其它交互如右击网页上的“打印预览”或“打印”命令可能会触发这个XXE 漏洞。


然而对window.print()，Javascript 函数的简单调用可在无需用户和网页交互的情况下实施攻击。重要的是，如果文件是从网络以压缩文档的形式下载并使用某种存档使用程序 MOTW 打开的，那么可能就不会起作用。


通常在实例化ActiveX Objects 如“Microsoft.XMLHTTP”时，用户将会在 IE 中看到安全栏警告并被提示激活被阻止的内容。然而，当打开使用恶意<xml>标记打开特殊构造的 .MHT 文件时，用户将无法获得此类活动内容或安全栏警告。


例如：

C:\sec>python -m SimpleHTTPServer
Serving HTTP on 0.0.0.0 port 8000 ...
127.0.0.1 - - [10/Apr/2019 20:56:28] "GET /datatears.xml HTTP/1.1" 200 -
127.0.0.1 - - [10/Apr/2019 20:56:28] "GET /?;%20for%2016-bit%20app%20support[386Enh]woafont=dosapp.fonEGA80WOA.FON=EGA80WOA.FONEGA40WOA.FON=EGA40WOA.FONCGA80WOA.FON=CGA80WOA.FONCGA40WOA.FON=CGA40WOA.FON[drivers]wave=mmdrv.dlltimer=timer.drv[mci] HTTP/1.1" 200 -
Page在安装完整补丁的Win7/10 和Server 2012 R2上的最新版本IE 浏览器版本V11测试成功。
POC：http://hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt。
POC视频：https://youtu.be/fbLNbCjgJeY。
此PoC代码为窃取 Windows “system.ini”文件的（注：可根据需要编辑脚本中的攻击者服务器 IP）
（1）使用脚本创建“datatears.xml” XML 和嵌入 XXE 的“msie-xxe-0day.mht” MHT 文件
（2）Python –m SimpleHTTPServer
（3）将生成的“datatears.xml”放在 Python 服务器 web-root 中。

（4）打开生成的“msie-xxe-0day.mht”文件，观察文件将被窃取。


修复建议


目前微软没有发布补丁。


参考链接


https://www.zdnet.com/article/internet-explorer-zero-day-lets-hackers-steal-files-from-windows-pcs/
http://hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt




上一篇 下一篇