18:00
21/12/2011

Na Twitterze niejaki w3bd3vil opublikował linka do strony, która zawiesza 64 bitowy Windows 7 Professional. Wystarczy wejść przeglądarką Safari na stronę www zawierającą tag iframe z dużą wartością w atrybucie height.

0day na Windows 7 Pro (64bit)

Jak pisze w3bd3vil, Blue Screen ujawnia się po wejściu na tak zbudowaną stronę WWW przy pomocy przegladarki Safari. BSOD pojawi się tylko jeśli korzystacie z Windows 7 Professional 64 bit i przeglądarki Safari. Jednak dziura nie leży w Safari a w sterowniku win32k.sys (funkcja NtGdiDrawStream).

Blue Screen of Death Windows 7 BSOD

Blue Screen of Death (BSOD)

Jak pisze Secunia, która oceniła błąd jako Highly Critical, atak może pozwolić na wykonanie kodu atakującego na poziomie kernela. Niewykluczone, że niebawem okaże się, iż błąd można wykorzystać także poprzez inne przeglądarki… obecny poc dedykowany Safari sprawia, że jego wykorzystanie nawet do “żartów” będzie utrudnione — kto korzysta z Safari na Windows?


Przeczytaj także:



52 komentarzy

Dodaj komentarz
  1. Czy Chrome zainstalowane z uprawnieniami ZU też tak się zachowa ?

  2. Tylko na 64 bitach, czy na 32 bitach niesprawdzane? :D

  3. BSOD na Home Premium x64

  4. Działa ;-)

  5. Faktycznie działa, dawno nie widziałem bluescreena ;

  6. Czytanie ze zrozumieniem umarło ? Błąd jest tylko w Safari i tylko na W7 64bit.

    EOT.

    • Np właśnie się kłania :) Błąd WYSTĘPUJE pod safari a nie jest W Safari – dziura leży w dllce a przeglądarka tylko używa zepsutej metody.

    • Faktycznie, czytanie ze zrozumieniem umarło. Błąd jest w kernelu, więc na Chrome i ZU też może dać się przygotować exploita. Na razie jest POC na Safari

    • f_ranek: Ale wiesz, ze nalezenie do kategorii “przegladarki internetowe” nie wymusza korzystania z konkretnych, nieudokumentowanych funkcji Windows? Tak wiec zagrozenie w innych przegladarkach nie jest takie pewne do znalezienia.

    • franek, jak następnym razem będziesz chciał udawać mądralę to sprawdź, czy na pewno masz rację

    • mariusz: fakt, nie sprawdziłem i nie wiedziałem, że jest to _nieudokumentowana_ funkcja

  7. Firefox + Win 7 Ultimate nie wywołuje błędu.

    • Poważnie?

    • Przecież jest napisane wyżej, że działa tylko pod Safari…

    • Linux + Firefox też nie, a dziwne, bo Linux 64 bitowy! ;P

    • Amiga z 64 bitami tez nie, najnowszy AmigaOS..

    • Na mojej Nokii S60V5 też błąd nie występuje, dziwne… Sprawdziłem kilka razy :E

    • Android 2.3.3 i wbudowana przegladarka tez nie czule na blad….

    • telnet na FreeBSD 8.2 też nie. Nawet na amd64 ;

  8. Działa :)

  9. Działa :) Tylko ile osob używa safari w W7 64bit ?

  10. Cholera! Nie dość, że używam Opery, to jeszcze w preferencjach mam wyłączoną obsługę pływających ramek :-(.

  11. Ale kurcze kto korzysta z safari na Windozie???
    Pewnie są i tacy ale jest raczej promil…

  12. Nie było pytania nie doczytałem do końca :)

  13. instaluję safari, swoją drogą to niezły test na czytanie ze zrozumieniem:-)

    • Jak aktualizacje chcą restartu systemu to pewnie przekładasz, a dla BSOD’a specjalnie instalujesz Safari? Ja też.

    • @maniel: kiedyś to się po prostu nazywało “czytaniem”. W dobie dzisiejszego poziomu edukacji ewoluowało to na “czytanie ze zrozumieniem”, bo tekst przecież jest tak trudny merytorycznie…

  14. Na MACu nie dziala :)

  15. https://niebezpiecznik.pl/wp-content/uploads/2011/12/win7_64b_iframe.html – bzdura, ten exploit nie działa, testowane na Win 7 64 bit SP1 + Safari 5.1.2

    • OMG nie potrafisz nawet exploita odpalić? ;d Na pewno masz win profesional?

    • Widocznie seria laptopow od della M6600 nie jest podatna na ‘tego exploita’ , ekspercie.

  16. Skoro x64 Professional to pewnie i pozostałe edycje x64 także. Ktoś sprawdził?

    • Tak.
      Działa dla wszystkich edycji.
      BSOD na Home Premium zaliczony :P.

  17. Potwierdzam dzialanie :/

  18. Użycie funkcji z przedrostkiem Nt przez Apple to już duże nadużycie bo to Undocumented API nie do stosowania w projektach, na własne życzenie użyli czegoś co nie jest dostosowane do używania na szeroką skalę.

    • Sugerujesz, ze nieudokumentowanie funkcji zwalnia z odpowiedzialnosci zapewnienia bezpieczenstwa w razie jej wywolania?

      Tak w ogole to Apple zrobilo to specjalnie ;-)

    • Każda przeglądarka która chce być fajna i być pierwsza we wszystkich rankingach będzie używać tych funkcji. W Google Chrome jest też pełno funkcji z Nt na początku. Google Code dla Chrome znalazł mi ich około 300.

  19. Nie tylko Win7, ale także działa na Windows Vista ultimate 64bit z SP2.
    A czy przypadkiem 32bit aplikacje nie mają bezpośredniego dostępu do jadra i natywnych bibliotek (x64) dll? Może sama nakładka WOW64 ma jakąś lukę.
    Jak bym miał sprzętową wirtualizację bym sprawdził na win XP x64.

  20. Na Debianie Unstable x64 z GNOME 3 i Operą wejście na stronę powoduje restart GNOME.

    • …i wtedy się obudziłeś?

  21. Jeżeli działa to na razie tylko na Safari to jak zmusić np. Chrome czy Firefoksa aby skorzystał z “niedorobionej” biblioteki Windows ? Coś mi się tu nie klei.

    Zresztą moje pierwsze pytanie zmierzało do wyjaśnienia czy to nie jest również sprawa uprawnień. Z admina/roota można wiele systemów wyp … w kosmos. Nie wiem czy Safari da się zainstalować na prawach ZU, nigdy nie używałem tej egzotyki.

  22. “Wystarczy wejść przeglądarką Safari…”

    I bardzo dobrze. Zainstalowles Safari, to cierp. Karma! :]

  23. Po co komu safari ?
    Ha, wiem !
    Nakleję sobie jeszcze fosforyzującego ogryzka na klapę od lapka i będę szpanował że mam maca… :P

    • Jeśli twój laptop jest na kompatybilnych podzespołach, możesz sobie zainstalować MAC OS X.

    • Ale po co mam zmniejszać funkcjonalność swojego sprzętu?

  24. nie dziala z okienkami windows classic. http://i.imgur.com/85r3R.png

    • Doskonaly zestaw kolorów :)

  25. Crashuje Windowsa XP x64.

  26. Kto obecnie używa iframe ? Na stronach internetowych ?

    • Ktoś kto będzie chciał wykorzystać taką lukę?

  27. Ale przecież to nie jest błąd, to jest feature :P

  28. Kaspersky Internet Security 2011 : Żądany adres nie może zostać pobrany

    Wykryto zagrożenie:

    obiekt jest zainfekowany przez HEUR:Trojan.Script.Generic

Twój komentarz

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: