IE瀏覽器的XXE零時差注入漏洞,會讓駭客竊取檔案和系統資訊

https://blog.trendmicro.com/trendlabs-security-intelligence/files/2019/03/Vulnerability-200x200.jpg

資安研究員John Page最近披露了一個微軟IE瀏覽器的XXE(XML外部實體)零時差注入漏洞。根據報導,駭客可以利用此漏洞來竊取機密資訊或從受害者電腦取得檔案。Page使用Windows 7/10及Windows Server 2012 R2更新版的最新版IE (11)瀏覽器來測試此漏洞。我們檢視了它的攻擊鏈來了解安全漏洞的運作原理以及該如何解決。

XXE注入攻擊會利用帶有不正常設定XML外部實體參照(CWE-611)的XML解析器來存取未經授權內容。XXE注入還會利用配置不當的文件類型定義(CWE-827) – 被用來定義標記語言(如XML)的文件類型。例如駭客可以用惡意XML檔加上外部實體參照來利用“file://”協定存取本地端檔案,或用“http://”來存取網頁伺服器上的檔案。

Page所回報的漏洞會在開啟特製MIME HTML網頁存檔(.mht)檔案並且使用者與瀏覽器進行互動時觸發,例如在IE瀏覽器內用Ctrl+K開啟新分頁或用Ctrl+P列印檔案。但使用者互動可以透過window.print()等JavaScript函式進行模擬。一旦使用者開啟惡意.mht檔,駭客就能夠從使用者系統取得檔案。要注意的是,此漏洞要攻擊成功很大程度上依賴於社交工程(social engineering )。例如駭客必須誘騙使用者下載惡意.mht檔案並手動開啟。

Page披露了這個漏洞,同時我們也將分析分享給微軟,微軟發布了此一官方聲明:

「僅僅透過IE瀏覽器無法進行這種惡意行為。攻擊者必須透過社交工程誘騙或說服使用者下載惡意文件,如垃圾郵件附件或網路釣魚活動觸發下載。然後必須用瀏覽器開啟該檔案。為了防止這類攻擊,必須遵循良好的網路使用習慣,比方說避免從網路下載和開啟可疑檔案。」

漏洞影響

駭客攻擊漏洞成功後可以存取使用者系統內的敏感檔案。還可能取得讓之後進行更多攻擊或放入更多惡意程式的偵察資訊。例如駭客可以取得電腦上安裝的應用程式、網路設定、權限和防毒軟體等詳細資訊。駭客接著就能利用這些資訊在受影響網路內取得立足點。

XXE注入攻擊並非新威脅,但會帶來重大的資安風險。事實上,XXE攻擊一直都列在OWASP應用程式及常見工具和軟體功能的重大資安風險列表上。另一值得注意的是.mht檔被用作攻擊媒介,因為它也常被用在漏洞攻擊包資訊竊取病毒等威脅。

攻擊鏈分析

駭客想要利用此漏洞必須先在網頁伺服器上放置惡意XML檔。此XML檔要在ENTITY標記內指定要從使用者系統取得的特定檔案。同時這個檔案要被使用者在電腦上手動開啟的惡意MHTML檔參照為外部實體。

https://blog.trendmicro.com/trendlabs-security-intelligence/files/2019/04/xxe-injection-internet-explorer-1.png

圖1. 從使用者系統取得指定檔案的惡意XML

攻擊者必須說服使用者從攻擊媒介(如社交工程垃圾郵件附件檔或網路釣魚)下載惡意MHTML檔案。接著郵件客戶端必須用IE瀏覽器開啟惡意檔案。請注意,IE瀏覽器是所有版本Windows開啟MHTML檔案的預設應用程式,因此使用者無需指定應用程式。如圖3所示,一旦開啟惡意MHTML檔,IE瀏覽器會向攻擊者的伺服器發送GET請求來取得惡意XML檔。

https://blog.trendmicro.com/trendlabs-security-intelligence/files/2019/04/xxe-injection-internet-explorer-2.jpg

圖2. 範例MHTML利用IE瀏覽器的XXE漏洞從攻擊者電腦下載惡意XML

https://blog.trendmicro.com/trendlabs-security-intelligence/files/2019/04/xxe-injection-internet-explorer-3.png

圖3. 從客戶端發送到攻擊者伺服器來取得惡意XML檔的封包擷取

從圖1可以看出惡意XML檔包含欲取得檔案的詳細資訊以及攻擊者伺服器的URI(統一資源標識符)。攻擊者在惡意XML檔參照的檔案內容會用同一XML檔內的URI路徑送回攻擊者伺服器。接著顯示在攻擊者那一端。

https://blog.trendmicro.com/trendlabs-security-intelligence/files/2019/04/xxe-injection-internet-explorer-4.png

圖4:從客戶端將目標檔案內容發送到攻擊者伺服器的封包擷取

趨勢科技解決方案

截至本文撰寫時,微軟尚未針對此漏洞發布修復程式。使用者在開啟未知來源的任何檔案時都應該要小心謹慎。要利用此漏洞需要誘騙使用者開啟惡意檔案。避免點擊可疑來源的連結或下載、開啟檔案。確保作業系統及應用程式更新到最新版本(或在舊系統上使用虛擬修補技術)。系統管理員、開發人員和程式設計師也必須遵循最佳實作。例如,OWASP有一份防止XXE問題的建議列表

趨勢科技的Deep SecurityVulnerability Protection 漏洞防護可以透過以下DPI規則來保護使用者系統不受此漏洞威脅:

1005676 – Identified Download Of XML File With External Entity Reference

趨勢科技的TippingPoint客戶可透過以下MainlineDV過濾器來保護此漏洞:

13855 – TCP: XML External Entity (XXE) Usage

@原文出處:Zero-day XML External Entity (XXE) Injection Vulnerability in IE瀏覽器 Can Let Attackers Steal Files, System Info 作者:Ranga Duraisamy和Kassiane Westell(趨勢科技漏洞研究員)