微软IE 0DAY XXE缝隙安全公告

颁布功夫 2019-04-15

缝隙编号和级别


CVE编号：暂无 ，危险级别：高危 ，CVSS分值：官方未评定


影响版本


IE 11 ，影响 Windows 7、10和 Server 2012 R2 版本


缝隙概述


钻研人员John Page公开了一个可导致黑客从Windows系统中窃取文件的 IE 浏览器 0day 缝隙的详情和 PoC 代码。该缝隙为存在于 IE 11 中的XXE表部实体注入缝隙 ，存在于 IE 处置 MHT 文件的方式中 ，影响 Windows 7、10和 Server 2012 R2 版本。


MHT即“MHTML Web Archive” ，是所有 IE 浏览器维持网页（点击 CTRL+S）的默认尺度。固然现代浏览器不再以 MHT 体式保留网页 ，而是使用尺度的 HTML 文件体式 ，然而好多现代浏览器依然支持处置该体式。

缝隙验证


Page 暗示 ，IE浏览器易受XML表部实体攻击 ，前提是用户在本地打开一个特殊机关的 .MHT 文件。

它可导致远程攻击者窃取本地文件并远程窥伺本地装置的法式版本信息。例如 ，”c:\python27\NEWS.txt”的要求可接见该法式的版本信息。


本地打开恶意“.MHT”文件后 ，它应该会启动 IE 浏览器。之后 ，用户交互如沉复选项卡“Ctrl+K”。其它交互如右击网页上的“打印预览”或“打印”号令可能会触发这个XXE 缝隙。


然而对window.print() ，Javascript 函数的单一挪用可在无需用户和网页交互的情况下执行攻击。沉要的是 ，若是文件是从网络以压缩文档的大局下载并使用某种存档使用法式 MOTW 打开的 ，那么可能就不会起作用。


通常在事俘化ActiveX Objects 如“Microsoft.XMLHTTP”时 ，用户将会在 IE 中看到安全栏忠告并被提醒激活被阻止的内容。然而 ，当打开使用恶意<xml>象征打开特殊机关的 .MHT 文件时 ，用户将无法获得此类活动内容或安全栏忠告。


例如：

C:\sec>python -m SimpleHTTPServer
Serving HTTP on 0.0.0.0 port 8000 ...
127.0.0.1 - - [10/Apr/2019 20:56:28] "GET /datatears.xml HTTP/1.1" 200 -
127.0.0.1 - - [10/Apr/2019 20:56:28] "GET /?;%20for%2016-bit%20app%20support[386Enh]woafont=dosapp.fonEGA80WOA.FON=EGA80WOA.FONEGA40WOA.FON=EGA40WOA.FONCGA80WOA.FON=CGA80WOA.FONCGA40WOA.FON=CGA40WOA.FON[drivers]wave=mmdrv.dlltimer=timer.drv[mci] HTTP/1.1" 200 -
Page在装置齐全补丁的Win7/10 和Server 2012 R2上的最新版本IE 浏览器版本V11测试成功。
POC：http://hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt。
POC视频：https://youtu.be/fbLNbCjgJeY。
此PoC代码为窃取 Windows “system.ini”文件的（注：可凭据必要编纂剧本中的攻击者服务器 IP）
（1）使用剧本创建“datatears.xml” XML 和嵌入 XXE 的“msie-xxe-0day.mht” MHT 文件
（2）Python –m SimpleHTTPServer
（3）将天生的“datatears.xml”放在 Python 服务器 web-root 中。

（4）打开天生的“msie-xxe-0day.mht”文件 ，观察文件将被窃取。


建复建议


目前微软没有颁布补丁。


参考链接


https://www.zdnet.com/article/internet-explorer-zero-day-lets-hackers-steal-files-from-windows-pcs/
http://hyp3rlinx.altervista.org/advisories/MICROSOFT-INTERNET-EXPLORER-v11-XML-EXTERNAL-ENTITY-INJECTION-0DAY.txt