flashsky (flashsky1_at_sina.com)

[安全通告]
通告:[AD_LAB-04005] Microsoft WINDOWS ani 光标文件处理内核崩溃漏洞
分类:设计错误
日期:12/20/2004
远程:允许远程攻击者通过WEB页面使得被攻击系统立刻蓝屏重启或者内核陷入死锁
CVE编号:CAN-2004-1305
受威胁的系统:
Windows NT
Windows 2000 SP0
Windows 2000 SP1
Windows 2000 SP2
Windows 2000 SP3
Windows 2000 SP4
English Windows XP SP0
English Windows XP SP1
Windows 2003
未受威胁的系统:
windows xp sp2
厂商:
www.microsoft.com


1.漏洞描述：
WINDOWS 在处理错误的光标格式的时候，会导致内核崩溃，蓝屏重启或内核被拒绝服务。

2.漏洞技术细节：
ANI是WINDOWS 支持的动画光标格式，在ANI是由多个普通的光标文件组成一个动画，其中ANI
文件的头处会标记是几个图标frame，WINDOWS 的内核在显示光标的时候并未对该值进行检查，如
果将这个数字设置为0，会导致受影响的WINDOWS系统计算出错误的光标的地址并加以访问，触发了
内核的蓝屏崩溃。不仅仅是应用使用ANI文件时会触发，只要在EXPLORER下打开ANI文件存在的目录
就会触发。攻击者也可以发送光标的文件，引诱用户访问含有恶意光标显示的页面，以及发送嵌入
光标的HTML邮件，导致被攻击者系统蓝屏崩溃。
另外ANI文件的头处会标记每FRAME切换的频率，该值越小切换的速度越快，WINDOWS 的内核在
切换光标FRAME的时候并未对该值进行检查，如果将这个数字设置为0，受影响的WINDOWS的内核会
陷入内核的死锁，不再响应任何用户界面的操作。该漏洞触发必须要在使用ANI文件的应用中才能
触发,攻击者引诱用户访问含有恶意光标显示的页面，以及发送嵌入光标的HTML邮件，导致被攻击
者系统内核死琐。

可以通过访问 http://www.xfocus.net/flashsky/icoExp/index.html 来验证此漏洞
警告：受威胁的系统将立刻蓝屏重启，测试之前请先保存好你机器上的数据。

3.感谢:
Flashsky(fangxing@venustech.com.cn;flashsky@xfocus.org) 发现并公布了此漏洞的具体技术细节
感谢启明星辰技术信息有限公司积极防御实验室的伙伴和丰收项目小组。

4.申明:

The information in this bulletin is provided "AS IS" without warranty of any
kind. In no event shall we be liable for any damages whatsoever including direct,
indirect, incidental, consequential, loss of business profits or special damages.

Copyright 1996-2004 VENUSTECH. All Rights Reserved. Terms of use.

VENUSTECH Security Lab
VENUSTECH INFORMATION TECHNOLOGY CO.,LTD(http://www.venustech.com.cn)