Firefox PDF Reader漏洞爆發 啟明星辰精確攔截
責編：admin ｜2015-08-25 18:39:20事件背景
近日，Mozilla基金會發布一個Firefox瀏覽器的安全更新，即CVE-2015-4495漏洞，該漏洞存在于Firefox瀏覽器內置PDF閱讀器的pdf.js中，危險級別為：高危。該漏洞允許攻擊者繞過同源策略，在本地文件上下文中植入遠程執行JavaScript代碼，該漏洞的利用代碼已經在網絡中被大量散播。攻擊者們通過該漏洞，可以獲得本地文件的讀寫權限，然后可以進一步將各類惡意代碼上傳到目標主機上或者從目標服務器上下載系統敏感文件，因此，我們建議使用Firefox火狐瀏覽器的用戶，盡快更新火狐版本（當前最新版本為40.0.2），及時修改用戶密碼，目前，啟明星辰的多款安全產品可以有效檢測和精確防御Firefox瀏覽器最新漏洞所引發的安全事件，并提示廣大啟明星辰安全產品的用戶及時更新產品事件庫。
漏洞概要
如下是Mozilla官方的安全更新：https://www.mozilla.org/en-US/security/advisories/mfsa2015-78/
受影響系統：
Mozilla Firefox < 39.0.3
Mozilla Firefox ESR < 38.1.1
Mozilla Firefox OS < 2.2
Firefox? PDF reader 在實現上存在安全漏洞，遠程攻擊者利用此漏洞可繞過同源策略，讀取任意文件或獲取提升的權限，通過利用這個漏洞，攻擊者就可以向PDF閱讀器注入一個能夠搜索和上傳本地文件的腳本。如果目標主機上運行了這個帶有漏洞的火狐瀏覽器，那么這個漏洞就可以允許攻擊者從目標計算機的硬盤驅動器之中盜取用戶的敏感文件。而且這種攻擊方法可以用來攻擊Windows和Linux系統平臺的用戶。
目前網上已經有了攻擊者改進的用于Linux平臺，Windows平臺的攻擊腳本，新添加了需要搜集的文件。此外，攻擊者還開發了用于Mac OS X操作系統的惡意代碼。
在本文中，我們僅對Linux系統下的攻擊細節展開介紹。
Exploit惡意腳本分析
Exploit惡意腳本觸發后會執行setup_plugin函數，該函數創建了IFRAME，在IFRAMELoad 函數中，生成了一個空的PDF Blob，當Firefox將要利用內置的PDF閱讀器打開這個PDF Blob時，會執行get_sandbox_context函數，該函數執行時會在wrappedJSObject中創建一個新的sandboxContext屬性。此外,還將一個JavaScript函數寫入到了這個sandboxContext屬性中。后面的代碼將會調用這個函數。同時，利用這些步驟就能夠成功地繞過同源策略。
1、惡意腳本首先執行setup_plugin函數，然后執行start函數
Exploit腳本
Start函數
2、執行setup_plugin函數，該函數創建了IFRAME，在IFRAMELoad 函數中，生成了一個空的PDF Blob，當Firefox將要利用內置的PDF閱讀器打開這個PDF Blob時，會調用get_sandbox_context函數
setup_plugin()函數
空的PDF Blob
3、get_sandbox_context函數執行時，之前生成的IFRAME中會被注入新的代碼，在wrappedJSObject中創建一個新的sandboxContext屬性。此外,還將一個JavaScript函數寫入到了這個sandboxContext屬性中。后面的代碼將會調用這個函數。同時，利用這些步驟就能夠成功地繞過同源策略。
創建sandboxContext屬性的代碼
4、Exploit執行Start函數后，將會列出本地文件目錄列表，造成信息泄露。
惡意腳本中列出本地文件目錄列表的代碼如下：
腳本中的目錄列表代碼
本地目錄列表被列出，效果如下圖：
Exploit執行后列出本地文件目錄
對比試驗機的本地目錄文件為：
本地目錄文件
5、Firefox中內置的PDF閱讀器，默認是啟用的，所以會引起該漏洞。如果將pdfjs.disabled設為true來禁用Firefox內置的PDF閱讀器，則可以避免該漏洞造成的信息泄露。
Pdfjs默認啟用
禁用Pdfjs
禁用Pdfjs后不再彈窗本地文件列表
禁用Pdfjs后不再彈窗本地文件列表
6、攻擊者獲得本地文件目錄后，然后可以讀取任意敏感文件，并將敏感文件發送到遠程服務器。
產品報警展示：
目前我們的安全產品已經可以報警并防御該漏洞。
入侵檢測類系列產品，精確檢測Firefox瀏覽器最新漏洞的截圖：
入侵防御類系列產品，精確防御Firefox瀏覽器最新漏洞的截圖：
下一代入侵防御類系列產品，精確檢測Firefox瀏覽器最新漏洞的截圖：
解決方案
1.我們建議購買了上述啟明星辰信息安全產品的用戶，請升級到最新版本的事件庫，可準確攔截該樣本的漏洞攻擊行為。
2.建議Firefox用戶更新到最新版本，當前版本是Firefox 39.0.3版本
3.用戶也可以通過將pdfjs.disabled設為true來禁用Firefox內置的PDF閱讀器。