Microsoft Windows CSRSS.EXE栈溢出漏洞 (MS05-018)

漏洞信息详情

Microsoft Windows CSRSS.EXE栈溢出漏洞 (MS05-018)

• CNNVD编号：CNNVD-200505-017
• 危害等级： 超危
  
  
• CVE编号：
  CVE-2005-0551
  
• 漏洞类型：
  
  
  缓冲区溢出
  
• 发布时间：
  
  2005-04-15
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2005-10-20
  
• 厂        商：
  
  microsoft
• 漏洞来源：
  David Fritz

Windows内核是操作系统核心部分，提供系统级别服务，如设备和内存管理，分配处理器时间和管理错误处理。

Win32 API在实现命令行和其他基于字符的用户界面时使用控制台窗口。实现上述功能的特定代码位于CSRSS.EXE系统进程中。CSRSS.EXE进程的WINSRV.DLL文件创建并管理控制台窗口。如果用户从控制台窗口的系统菜单中选择了\”属性\”选项的话，包含有控制台窗口信息的数据结构就被拷贝到了文件映射的对象。该数据结构被称为CONSOLE_STATE_INFO，结构如下：

typedef struct _CONSOLE_STATE_INFO

{

/* 0x00 */ DWORD cbSize;

/* 0x04 */ COORD ScreenBufferSize;

/* 0x08 */ COORD WindowSize;

/* 0x0c */ POINT WindowPosition;

/* 0x14 */ COORD FontSize;

/* 0x18 */ DWORD FontFamily;

/* 0x1c */ DWORD FontWeight;

/* 0x20 */ WCHAR FaceName[32]; /* Buffer Overflow */

/* 0x60 */ DWORD CursorSize;

/* 0x64 */ BOOL FullScreen;

/* 0x68 */ BOOL QuickEdit;

/* 0x6c */ BOOL DefaultWindowPos;

/* 0x70 */ BOOL InsertMode;

/* 0x74 */ WORD ScreenColors;

/* 0x76 */ WORD PopupColors;

/* 0x78 */ BOOL HistoryNoDup;

/* 0x7c */ DWORD HistoryBufferSize;

/* 0x80 */ DWORD NumberOfHistoryBuffers;

/* 0x84 */ COLORREF ColorTable[16];

/* 0xc4 */ DWORD CodePage;

/* 0xc8 */ DWORD hwnd;

/* 0xcc */ WCHAR ConsoleTitle[2];

} CONSOLE_STATE_INFO， *PCONSOLE_STATE_INFO;

该结构中的值被传送到了WINSRV.DLL中的代码，但该代码没有正确的验证数据。攻击者可以发送全部为0的CONSOLE_STATE_INFO就可以导致CSRSS进程终止和系统崩溃(蓝屏)。

CONSOLE_STATE_INFO数据结构中还包含有指定字体名称的字符串FaceName[32]。该字符串通过wcscpy()函数拷贝到了固定大小的栈缓冲区，但没有任何检查，如下所示：

0x5FFB39DF push [ebp+lpFaceName]

0x5FFB39E2 lea eax， [ebp-54h]

0x5FFB39E5 push eax

0x5FFB39E6 call j_wcscpy

攻击者可以通过提供大于32个字节的字符串触发栈溢出，这样就可以完全控制计算机，执行任意代码。

来源: MS

名称: MS05-018

链接:http://www.microsoft.com/technet/security/bulletin/ms05-018.mspx

来源: IDEFENSE

名称: 20050412 Microsoft Windows CSRSS.EXE Stack Overflow Vulnerability

链接:http://www.idefense.com/application/poi/display?id=230&type=vulnerabilities

来源: US Government Resource: oval:org.mitre.oval:def:777

名称: oval:org.mitre.oval:def:777

链接:http://oval.mitre.org/repository/data/getDef?id=oval:org.mitre.oval:def:777

来源: US Government Resource: oval:org.mitre.oval:def:3544

名称: oval:org.mitre.oval:def:3544

链接:http://oval.mitre.org/repository/data/getDef?id=oval:org.mitre.oval:def:3544

来源: US Government Resource: oval:org.mitre.oval:def:266

名称: oval:org.mitre.oval:def:266

链接:http://oval.mitre.org/repository/data/getDef?id=oval:org.mitre.oval:def:266

来源: US Government Resource: oval:org.mitre.oval:def:1822

名称: oval:org.mitre.oval:def:1822

链接:http://oval.mitre.org/repository/data/getDef?id=oval:org.mitre.oval:def:1822