当前位置：GHOST系统之家>电脑问题 > CVE-2020-25291：金山WPS Office远程堆溢出漏洞分析

CVE-2020-25291：金山WPS Office远程堆溢出漏洞分析

来源：Ghost系统之家浏览：时间：2022-10-27 18:56:48

0x01 漏洞描述

WPSOffice是适用于Microsoftwindows，macOS，Linux，iOS和Android的办公软件，由总部位于珠海的中国软件开发商金山软件公司开发。WPSOffice由三个主要组件组成：WPSWriter，WPS Presentation和WPSSpreadsheet。个人基本版本可以免费使用，WPSOffice软件中存在一个远程执行代码漏洞，是当Office软件在分析特制Office文件时不正确地处理内存中的对象时引起的。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。漏洞可能会导致拒绝服务，易受攻击的产品WPSOffice，影响版本11.2.0.9453。

0x02 漏洞分析

在WPSOffice中用于图像格式解析的Qt模块中发现存在堆溢出。嵌入WPSoffice的特制图像文件可能会触发此漏洞。打开特制的文档文件时，触发访问冲突。EDX指向数组的指针，而EAX是指向数组的索引。

崩溃是如何触发的?让我们看一下PNG标头格式。

从偏移量0x29E31开始-0x29E34是PNG文件格式的签名标头。PNG头文件的结构：

在这种情况下，当WPSOfficeSuite中使用的QtCore库解析PLTE结构并触发堆溢出时，该漏洞位于Word文档中的嵌入式PNG文件中。在偏移量0x29E82到0x29E85处，调色板的解析失败，从而触发了堆中的内存损坏。崩溃触发之前的堆栈跟踪：

在QtCore4解析嵌入式图像之前，我们可以看到来自KSO模块的最后一次调用，试图处理图像kso!GdiDrawHoriLineIAlt。使用IDAPro分解应用程序来分析发生异常的函数。最后的崩溃路径如下(WinDBG结果)：

在IDA Pro中打开时，我们可以按以下方式反汇编该函数：

使用crashs转储中的信息，我们知道应用程序在0x67353321(mov eax，[edx + eax * 4+10h])处触发了访问冲突。我们可以看到EAX寄存器由0xc0值控制。因此，从这里我们可以根据导致异常的指令对寄存器的状态进行一些假设。需要注意的重要一点是，在发生异常之前，我们可以看到ECX(0xc0)中包含的值被写入到以下指令所定义的任意位置：

此外，我们注意到，在我们的故障指令之外，EBP的偏移量存储在ECX寄存器中。我们在前面提到的指令(偏移量为0x6ba1331c)上设置了一个断点，以观察内存。断点触发后，我们可以看到第一个值c45adfbc指向另一个指针，该指针应该是指向数组的指针。

从c45adfbc观察内存引用，发现另一个指针。第一个值ab69cf80始终表示为指向它所引用的任何地方的指针。指针ab69cf80基本上是我们指针的索引数组。

因为我们知道崩溃的路径，所以可以使用下面的命令简单地设置一个断点。该命令将获得指针值“ edx + eax * 4 +10”，并检查其是否满足0xc0。

观察堆栈，可以看到以下执行：

如果我们反汇编6ba3cb98，则可以看到以下反汇编代码，真正的漏洞根本原因在于此代码。

我们在6ba3cb89地址上设置断点并观察ESI + 0xB4，我们可以看到一个指针指向另一个位置：

从这里我们可以知道代码实际上没有从指针释放任何东西。一旦移至EDX，EDX将保留指向索引数组的指针：

崩溃后的堆栈跟踪：

堆分析：

段中的最后一个堆条目通常是一个空闲块。堆块的状态指示为空闲块，堆块声明前一个块的大小为00108，而当前块的大小为00a30。前一块报告其自身大小为0x20字节，不匹配。位置为05f61000的堆块的使用似乎是该堆块的使用导致以下块的元数据损坏的可能性。堆块如下：

0x03 披露时间表

该漏洞于2020年8月报告，披露时间表：