nedavno, Kaspersky je otkrio novu eksploataciju koja je iskoristila nepoznatu manu u Chromeu, za što je Google potvrdio da postoji ranjivost nula dana u vašem pregledniku i da je već katalogiziran kao CVE-2019-13720.
Ova ranjivost mogu se iskoristiti napadom koristeći injekciju sličnu onoj napad od "Zalijevanje rupe". Ova vrsta napada odnosi se na grabežljivca koji, umjesto da traži plijen, radije čeka na mjestu gdje je sigurno da će doći (u ovom slučaju, u točki vode za piće).
kao napad je otkriven na informativnom portalu na korejskom jeziku, u kojem je zlonamjerni JavaScript kôd umetnut na glavnu stranicu, što zauzvrat učitava skriptu za profiliranje s udaljene web lokacije.
Mali uložak JavaScript koda smješten je u indeksu web stranice koji je učitao udaljenu skriptu iz kod.jquery.cdn.behindcorona
Zatim skripta učitava drugu skriptu. Ova skripta provjerava može li se žrtvin sustav zaraziti usporedbom s korisničkim agentom preglednika, koji se mora izvoditi na 64-bitnoj verziji sustava Windows, a ne biti WOW64 proces.
također pokušajte dobiti ime i verziju preglednika. Ranjivost pokušava iskoristiti grešku u pregledniku Google Chrome, a skripta provjerava je li verzija veća ili jednaka 65 (trenutna verzija Chromea je 78).
Verzija Chromea provjerava skriptu za profiliranje. Ako je verzija preglednika potvrđena, skripta započinje s izvršavanjem niza AJAX zahtjeva na kontroliranom poslužitelju napadača, gdje naziv putanje upućuje na argument proslijeđen skripti.
Neophodan je prvi zahtjev za važne informacije za kasniju upotrebu. Te informacije uključuju više hex kodiranih nizova koji skripti govore koliko dijelova stvarnog koda eksploatacije treba preuzeti s poslužitelja, kao i URL slikovne datoteke koja sadrži ključ za konačni prijenos i RC4 ključ za dešifriranje dijelova kod eksploatacije.
Većina koda koristi razne klase povezane s određenom ranjivom komponentom preglednika. Budući da ova programska pogreška još nije bila ispravljena u vrijeme pisanja ovog članka, Kaspersky je odlučio ne sadržavati detalje o specifičnoj osjetljivoj komponenti.
Postoje neke velike tablice s brojevima koji predstavljaju blok ljuske i ugrađenu PE sliku.
Izrabljivanje koristio je pogrešku uvjeta utrke između dvije niti zbog nedostatka odgovarajućeg vremena među njima. To napadaču daje vrlo opasno stanje nakon puštanja (UaF) jer može dovesti do scenarija izvršavanja koda, što se upravo događa u ovom slučaju.
Ekploit prvo pokušava natjerati UaF da izgubi važne informacije 64-bitna adresa (poput pokazivača). To rezultira nekoliko stvari:
- ako je adresa uspješno otkrivena, to znači da exploit ispravno radi
- otkrivena adresa koristi se za otkrivanje gdje se nalazi hrpa / stog i to nadjačava tehniku nasumičnog formatiranja prostora prostora (ASLR)
- neki drugi korisni pokazivači za daljnje iskorištavanje mogli bi se pronaći gledajući blizu ovog smjera.
Nakon toga pokušavate stvoriti veliku skupinu objekata pomoću rekurzivne funkcije. To se radi za stvaranje determinističkog rasporeda hrpe, što je važno za uspješno iskorištavanje.
Istodobno, pokušavate koristiti tehniku raspršivanja hrpe koja ima za cilj ponovnu upotrebu istog pokazivača koji je prethodno objavljen u dijelu UaF-a.
Ovaj bi se trik mogao koristiti za zbunjivanje i davanje napadaču mogućnosti da operira dva različita objekta (s JavaScript točke gledišta), iako su oni zapravo u istoj memorijskoj regiji.
Google je objavio ažuriranje za Chrome koji ispravlja nedostatak na sustavima Windows, macOS i Linux, a korisnici se potiču na ažuriranje na Chrome verziju 78.0.3904.87.