Исследователь вспоминает панику из-за ошибки Office 2007

Поскольку eEye является одним из ведущих институтов в области управления угрозами, задачей компании было выяснить, нет ли в последней версии одного из наиболее широко используемых в то время корпоративных программных пакетов каких-либо недостатков нулевого дня. В течение 36 часов после запуска Линарес обнаружил ошибку в функции преобразования Word Art, которую Word использует для преобразования старых структур Word Art в современные для Office 2007.

Он отправил это открытие своему старшему, Марку Майффрету (который сейчас является техническим директором BeyondTrust, компании, которая приобрела eEye в 2012 году), который согласился с открытием Линареса и отправил его в Центр реагирования безопасности Microsoft (MSRC). В то же время eEye опубликовала несколько пресс-релизов об ошибке, а некоторые крупные новостные агентства осветили эту историю на основе заявления eEye...

Упс, ложное срабатывание

Вскоре после пресс-релиза и широкого освещения в новостях Дэвид Леблан, который был одним из главных экспертов по безопасности, работавших над Office 2007, заметил, что использовать эту ошибку можно только тогда, когда к программе подключен отладчик — что почти во всех случаях является средним показателем. пользователи не будут иметь и не будут работать с этим пакетом в повседневной работе. Леблан сказал: «Итак, насчет этого сбоя… его можно использовать только при подключенном отладчике». Это означало, что вывод Грега Линареса оказался ложноположительным, поэтому eEye пришлось отозвать свои заявления. А может быть, нет?

Грег проработал в eEye менее двух месяцев и чувствовал себя опустошенным, потому что его ошибка потенциально могла стоить компании репутации. Если бы eEye пришлось отказаться от своих выводов об уязвимости нулевого дня в Microsoft Office, работа Линареса в компании, вероятно, также оказалась бы на плахе.

Но у Марка была другая идея: вместо того, чтобы отозвать пресс-релиз, он попросил исследовательскую группу найти ему новую ошибку нулевого дня в Office 2007 как можно скорее. Тем временем eEye убила некоторое время, сообщив MSRC, что команда отправила неправильный файл и вскоре предоставит обновление.

Итак, Линарес начал вручную фаззить — или случайным образом вставлять неверные и неожиданные входные данные — в пакет Office, чтобы попытаться что-то найти. Но он был не одинок в своих усилиях, вся исследовательская группа подошла к нему и сказала: «Мы в этом вместе. Давай сделаем это." Никто из команды не покидал офис в течение нескольких дней, а их жены и партнеры очень беспокоились о них. Но они не могли сдаться, пока не нашли еще одну ошибку, подтверждающую их первое объявление.

После четырех дней случайного фаззинга, набора инструментов для анализа, двоичного декомпилятора и нескольких стопок пиццы один фаззер добился успеха — и это вернуло в чувство всю команду. Они снова запустили фаззер без отладчика, и он столкнулся с тем же сбоем: 0x4141414141, полная перезапись указателя расширенных инструкций (EIP), которая позволила команде получить контроль над приложением.

Другие товарищи по команде Грега, Юджи и Дерек, начали исправлять ошибку, чтобы найти ее источник, и обнаружили, что она затрагивает Microsoft Publisher, программное обеспечение Microsoft для настольных издательских систем, которое не было так популярно, как Excel, PowerPoint или Word. После повторного тестирования уязвимости с помощью отладчика и в новой операционной системе команда подтвердила ошибку.

Затем команда отправила информацию об уязвимости в MSRC, и она оказалась настолько серьезной, что Microsoft пришлось отозвать Леблана в офис, чтобы тот ее рассмотрел. Затем команда eEye продемонстрировала полные демонстрации уязвимостей и подтвердила свои выводы прессе. Затем Microsoft ответила команде, которая обнаружила проблему, и подтвердила ее. SafeInt — переносимая библиотека, созданная Лебланом для предотвращения целочисленных переполнений, — не была применена к структуре, что привело к уязвимости.

После того, как MSRC подтвердил проблему, eEye написал рекомендацию, информирующую всех о деталях уязвимости. Компании не пришлось отказываться от своего первоначального заявления, и Грегу удалось сохранить свою работу в eEye в качестве исследователя безопасности. Сегодня он более 20 лет работает в сфере информационной безопасности и связан с Huntress Labs, фирмой по кибербезопасности, которая специализируется на работе с малыми и средними компаниями.

Источник: Tomshardware.com