17-letni błąd w Office naprawiony na binarce: Microsoft zgubił kod źródłowy?
Podczas ostatniego drugiegowtorku miesiąca Microsoft wydał łatkę do odkrytej przezbadaczy z firmy Embedi luki oznaczonej jako CVE-2017-11882,dotyczącej pliku EQNEDT32.EXE – edytora równań w pakiecieMicrosoft Office. Luka jak luka, co prawda z długą brodą(najwyraźniej dotyczy wszystkich wersji Office wydanych w ciąguostatnich 17 lat), ale w swoim typie nie jest jakoś niezwykła. Poprostu pozwala na zepsucie pamięci podczas operacji wstawianiaobiektów OLE w dokumentach i w konsekwencji zdalne uruchomieniekodu. Bardziej interesująca jest sama łatka. Przyjrzeli jej siębadacze z firmy 0patch i zasugerowali, że Microsoft najwyraźniejzgubił swój kod źródłowy.
Plik EQNEDT32.EXE pojawił się po raz pierwszy w Microsoft Office2000 i pozostał we wszystkich kolejnych wersjach systemu, byzapewnić kompatybilność z poprzednimi wersjami dokumentów. Niebyło zresztą specjalnych powodów by coś w nim zmieniać –akurat edytor równań w pakiecie Office jest bardzo dobry. Gdyjednak badacze z Embedi pokazali, jak w połączeniu z innymexploitem, pozwalającym na podniesienie uprawnień procesu,przejmują za pomocą uzłośliwionego pliku Office kontrolę nadróżnymi wersjami Windowsów i Office, jasne było, że czas nazmiany.
Jak to zwykle bywa, po opublikowaniu poprawek, szczegóły tejluki Embedi przedstawiło w opublikowanym w zeszłym tygodniu20-stronicowymraporcie. Twórcy malware pewnie zajmą się teraz jegoprzestudiowaniem, gdyż jak do tej pory nie ma jeszcze związanych ztą luką gotowych exploitów, które byłyby wykorzystywane wcyberatakach na podatne systemy. Niezwykłe było jednak to, co stałosię później.
0patchto projekt mający na celu dostarczanie „mikrołatek naoprogramowanie działające na platformie Microsoftu, które blokująpodatności nawet wówczas, gdy producent nie wydał jeszczeoficjalnych łatek. Te niewielkie fragmenty kodu, mające często niewięcej niż 30 bajtów, działają nawet na niewspieranych systemachi nie wymagają żadnych restartów. Twórcy 0patcha przyjrzeli sięłatce do CVE-2017-11882, zauważając, że coś jest z nią nie tak.Załatany plik EQNEDT32.EXE praktycznie niczym się nie różnił odstarego, zawierającego lukę.
Badacze pytają retorycznie – *czy kiedykolwiek widzieliściekompilator C/C++, który po przebudowaniu kodu źródłowegoumieściłby w pliku wykonywalnym o rozmiarze ponad 500 KB wszystkiefunkcje pod dokładnie tymi samymi adresami, szczególnie gdymodyfikacje zmieniały ilość kodu w wielu funkcjach? *Cośtakiego jest oczywiście skrajnie nieprawdopodobne, jedynym sensownymwytłumaczeniem takiego stanu rzeczy jest to, że programiściMicrosoftu musieli ręcznie edytować binarny plik, ponieważ niemieli kodu źródłowego.
Być może Microsoft zgubił koddo komponentu Office stworzonego w roku 2000, być może nigdy go niemiał. Edytor równań do Office został bowiem stworzony przezniezależną firmę, niejaką Design Science Inc., która późniejodsprzedała swój produkt Microsoftowi. Czy mogło dojść doodsprzedania programu bez oddania jego kodu źródłowego? Dziś tegonikt nie jest już w stanie powiedzieć. Niezależnie jednak odpowodu niedostępności kodu, trzeba przyznać, że deweloperzy zRedmond zrobili kawał dobrej roboty, pokazując, że nie tylkowysokopoziomowe abstrakcje im w głowie.
Luka CVE-2017-11882 wynikała zniewłaściwego alokowania pamięci dla fontu – jeśli nazwa fontubyła za długa, dochodziło do przepełnienia buforu. Ręcznie dobinarki wprowadzono więc mechanizmy sprawdzania i ewentualnegoskracania nazwy fontu. To jednak nie wszystko, 0patch wskazuje, żeprzy okazji wprowadzono kilka innych poprawek, ostrożnie pilnując,by zachować oryginalny rozmiar i ułożenie funkcji w kodziemaszynowym. Mamy do czynienia z sześcioma takimi testamidługości w dwóch zmodyfikowanych funkcjach, które najwyraźniejnie są związane z CVE-2017-11882. Uważamy, że Microsoft zauważyłkilka dodatkowych wektorów ataku, które mogłyby powodowaćprzepełnienie bufora, i postanowił je proaktywnie załatać– stwierdzili eksperci z 0patch, chwaląc zarazem Microsoft zaświetną robotę przy tym bardzo trudnym przecież wyzwaniu.