avant-propos
Récemment, nous avons un produit de sécurité des terminaux populaires (Heimdal Thor) a trouvé une vulnérabilité d'injection de commande, en exploitant la vulnérabilité provoquerait le produit et le PC client exposé au risque de sécurité.
Mais après nous avons rapporté des vulnérabilités, Heimdal résoudre rapidement les problèmes, mais il convient de mentionner que cette échappatoire a touché plus de 65 millions d'unités de PC d'ici un an.
informations CVE vulnérabilité: [] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-8351
annonce officielle Heimdal: [https://support.heimdalsecurity.com/hc/en-us/articles/360001084158-Release-2-5-172-PROD-Update]
Cependant, Heimdal n'a pas mentionné cette vulnérabilité d'injection de commande à distance ... apparemment dans l'annonce.
failles trouvées
Cette vulnérabilité est découverte dans le temps, nous IOT tests automatisés de pénétration. Dans le processus de test matériel, nous avons l'habitude mis en place un point d'accès WiFi, et essayer de rediriger les périphériques de trafic réseau par l'interception proxy (comme Burp Suite). Pourquoi? Parce que beaucoup de dispositifs embarqués ne sont pas « véritable identité » du serveur pour vérifier la possibilité d'atteindre les attaques du milieu existeront ici.
D'une manière générale, si vous vous connectez à nos points d'accès WiFi à l'aide de ces Journal Windows, vous recevrez un grand nombre de certificats et un message d'erreur SSL / TLS, mais l'application ne sera pas le réseau de connexion légèrement, de sorte qu'il ya un risque de sécurité. Maintenant, la plupart des développeurs de logiciels sont déjà au courant, vérifier les objets de communication avec le trafic crypté est tout aussi important.
attaques Moyen -MitM
Lors de l'essai de matériel, j'ai réalisé une analyse en profondeur des flux Suite Burp. Comme prévu, l'équipement d'essai est pas vraiment l'identité du serveur de communication est vérifiée, cela permettra à la mise à jour je falsifier le firmware de l'appareil. Mais alors, j'ai trouvé une demande « différents », il est clair que la demande contient des informations détaillées sur les périphériques Windows:
Après A cette époque, nos clients un personnel avec son ordinateur portable connecté à nos points d'accès Wi-Fi, a trouvé aussi un autre problème. En attendant, son équipement dans la plupart tentative d'intervention logiciel pour capturer le comportement du trafic réseau, le trafic réseau et interrompu.
Mais la plupart ne signifie pas tout!
Nous avons constaté que le nom de domaine du matériel de communication pour coreservice.heimdalsecurity.com, il est clair que le « coupable » est le Heimdal Thor, mais ils semblent Intègre également les aspects de la protection des terminaux et des mises à jour logicielles automatisées.
Lorsque HeimdalThor effectuer des mises à jour logicielles automatiques, je l'ai trouvé téléchargera le logiciel à partir d'une liste JSON, qui contient l'URL, les informations de version, et ainsi de suite. Il y a « beforeInstallScript » et « afterInstallScript » Ces deux paramètres dans cette liste.
Par conséquent, lorsque la mise à jour du logiciel client, commande embarqué sera exécutée:
exécution de commande arbitraire sur le client
produits Endpoint Protection avec les droits avancés, alors quand l'attaquant intercepte le trafic entre le périphérique et le serveur, ils peuvent contrôler votre équipement.
Oui, tout d'abord un attaquant doit intercepter le trafic, mais le meilleur endroit est ouvert au point d'accès WiFi public. Ou que l'attaquant peut envahir un réseau WiFi domestique (faible clé PSK?), Envahissent alors l'environnement réseau domestique PC.
Ceci est très gênant, parce que les utilisateurs de plomb dans les risques de sécurité, ce sont ces « produits de sécurité. »
Analyse de la vulnérabilité
Donc, ici à la fin il y avait genre de problème?
HeimdalThor est capable d'une autorisation de haut niveau pour exécuter le logiciel de sécurité sur l'appareil de l'utilisateur, mais nous croyons que les niveaux de sécurité et les normes de ce produit ne suffit pas ...
problème de vérification de certificat doit être trouvé plus tôt:
1, de nombreux problèmes de validation des certificats de sécurité existent par exemple si elle devrait se trouver dans la phase de vérification de code, mais aussi des problèmes dans le processus de développement de produits ont été trouvés à plusieurs reprises, mais il ne résout pas le temps de déploiement réel.
2, devrait être une mise à jour majeure du logiciel ou mettre à jour plusieurs tests pour vérifier la validité du certificat doit également être vérification automatique périodique.
De plus, j'ai aussi trouvé que lorsque Heimdal Thor télécharger une mise à jour est pas un fichier exécutable régulier, mais le fichier .enc. Après analyse, nous avons constaté que le fichier est crypté. Mais ils sont comment chiffrer?
L'application utilise un développeur .NET, ce processus de décompilation serait plus de mal après avoir essayé, nous avons enfin trouvé le code déchiffré:
Le code est basé sur l'algorithme de chiffrement AES Rijndael, en analysant la référence de fonction, nous avons constaté que le rôle principal de cette fonction est de décrypter le fichier, la clé et IV sont réglées sur « CryptingConstants.Key » et « CryptingConstants.IV ».
Comme prévu, la clé et IV sont statiques, mais dans tous les produits Heimdal Thor sont les mêmes:
RijndaelManaged il a hérité SymmetricAlgorithm, et cet algorithme est utilisé par défaut en mode CBC. Ce mode ne fournit pas le mécanisme d'authentification, de sorte que nous changeons le texte de mot de passe ne doit pas être trouvé.
Nous avons également constaté que, les données JSON renvoyées par le serveur, il y a un paramètre « contrôle », qui est une somme de contrôle MD5, il peut nous aider à vérifier la validité du fichier de mise à jour, mais l'attaquant peut facilement contourner cette mécanisme de vérification, car ils ne doivent générer une nouvelle MD5 et avant de le remplacer.
résumé
Bref, ce produit de sécurité des terminaux qui est incapable d'assurer la protection de la confidentialité, ne peut pas fournir une vérification efficace de l'authenticité des données.
À notre avis, le mécanisme de cryptage utilisé par ce produit de la conception et de la phase de spécification ont été condamnés sa défaite. Produit semble apparemment pour assurer la sécurité, mais en fait pas le cas. Pour concevoir le système de sécurité, il est nécessaire de commencer par un bon ensemble des objectifs de sécurité clairs, nous vous recommandons ce produit peut tout recommencer à zéro vers le bas.
* Référence Source: tuisec, FB Xiao Bian Alpha_h4ck compilé, reproduit à partir FreeBuf.COM
