微软IE 0DAY XXE误差清静通告

宣布时间 2019-04-15

误差编号和级别


CVE编号：暂无，危险级别：高危，CVSS分值：官方未评定


影响版本


IE 11，影响 Windows 7、10和 Server 2012 R2 版本


误差概述


研究职员John Page果真了一个可导致黑客从Windows系统中窃取文件的 IE 浏览器 0day 误差的详情和 PoC 代码 。该误差为保存于 IE 11 中的XXE外部实体注入误差，保存于 IE 处置惩罚 MHT 文件的方法中，影响 Windows 7、10和 Server 2012 R2 版本 。


MHT即“MHTML Web Archive”，是所有 IE 浏览器坚持网页（点击 CTRL+S）的默认标准 。虽然现代浏览器不再以 MHT 名堂生涯网页，而是使用标准的 HTML 文件名堂，然而许多现代浏览器仍然支持处置惩罚该名堂 。

误差验证


Page 体现，IE浏览器易受XML外部实体攻击，条件是用户在外地翻开一个特殊结构的 .MHT 文件 。

它可导致远程攻击者窃取外地文件并远程侦探外地装置的程序版本信息 。例如，”c:\python27\NEWS.txt”的请求可会见该程序的版本信息 。


外地翻开恶意“.MHT”文件后，它应该会启动 IE 浏览器 。之后，用户交互如重复选项卡“Ctrl+K” 。其它交互如右击网页上的“打印预览”或“打印”下令可能会触发这个XXE 误差 。


然而对window.print()，Javascript 函数的简朴挪用可在无需用户和网页交互的情形下实验攻击 。主要的是，若是文件是从网络以压缩文档的形式下载并使用某种存档使用程序 MOTW 翻开的，那么可能就不会起作用 。


通常在实例化ActiveX Objects 如“Microsoft.XMLHTTP”时，用户将会在 IE 中看到清静栏忠言并被提醒激活被阻止的内容 。然而，当翻开使用恶意<xml>标记翻开特殊结构的 .MHT 文件时，用户将无法获得此类运动内容或清静栏忠言 。


例如：

C:\sec>python -m SimpleHTTPServer
Serving HTTP on 0.0.0.0 port 8000 ...
127.0.0.1 - - [10/Apr/2019 20:56:28] "GET /datatears.xml HTTP/1.1" 200 -
127.0.0.1 - - [10/Apr/2019 20:56:28] "GET /?;%20for%2016-bit%20app%20support[386Enh]woafont=dosapp.fonEGA80WOA.FON=EGA80WOA.FONEGA40WOA.FON=EGA40WOA.FONCGA80WOA.FON=CGA80WOA.FONCGA40WOA.FON=CGA40WOA.FON[drivers]wave=mmdrv.dlltimer=timer.drv[mci] HTTP/1.1" 200 -
Page在装置完整补丁的Win7/10 和Server 2012 R2上的最新版本IE 浏览器版本V11测试乐成 。
POC：http://hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt 。
POC视频：https://youtu.be/fbLNbCjgJeY 。
此PoC代码为窃取 Windows “system.ini”文件的（注：可凭证需要编辑剧本中的攻击者服务器 IP）
（1）使用剧本建设“datatears.xml” XML 和嵌入 XXE 的“msie-xxe-0day.mht” MHT 文件
（2）Python –m SimpleHTTPServer
（3）将天生的“datatears.xml”放在 Python 服务器 web-root 中 。

（4）翻开天生的“msie-xxe-0day.mht”文件，视察文件将被窃取 。


修复建议


现在微软没有宣布补丁 。


参考链接


https://www.zdnet.com/article/internet-explorer-zero-day-lets-hackers-steal-files-from-windows-pcs/
http://hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt