Sårbarhed ved DLL-injektion og kodeudførelse i v54.5.90 lader hackere sprede malware

Dropbox

Der er fundet en sårbarhed med kapring af DLL-kapring og kodeudførelse i den skybaserede opbevaringsløsning: Dropbox. Sårbarheden blev først stødt på tidligere i ugen, efter at det blev fundet at påvirke Dropbox's version 54.5.90. Siden da er sårbarheden blevet udforsket og undersøgt, hvilket nu gør det til frontlinjen af ​​information, som brugerne skal passe på.

Ifølge de udnyttelsesoplysninger, der er offentliggjort af ZwX Security Researcher, findes sårbarheden at eksistere i DropBox til Windows i applikationens version 54.5.90 som tidligere nævnt. Sårbarheden kommer ud af loophuller og uoverensstemmelser i 4 bestemte biblioteker. Disse biblioteker er: cryptbase.dll, CRYPTSP.dll, msimg32.dll og netapi32.dll. Sårbarhederne opstår fra spillerummet i disse biblioteker og vender tilbage til påvirkning og forårsager også funktionsfejl i de samme biblioteker, hvilket resulterer i en samlet træk tilbage til Dropbox-skytjenesten.

Sårbarheden kan fjernudnyttes. Det giver mulighed for en uautentificeret ondsindet angriber til at udnytte DLL-indlæsningssårbarheden ved at ændre de pågældende DLL-opkald, så en ondsindet udformet DLL-fil fejlagtigt åbnes med forhøjede tilladelser (som givet for system-DLL-filer). En bruger, hvis enhed gennemgår denne udnyttelse, vil ikke indse det, før processen er blevet udnyttet til at injicere malware i systemet. DLL-indsprøjtning og -udførelse kører i baggrunden uden at kræve brugerinput for at køre dens vilkårlige kode.

For at reproducere sårbarheden følger beviset på konceptet, at først en ondsindet DLL-fil skal sættes sammen og derefter omdøbes til at ligne en traditionel Dropbox DLL-fil, som tjenesten typisk kalder på i systemet. Derefter skal denne fil kopieres til Dropbox-mappen i Windows C-drevet under Program Files. Når Dropbox er lanceret i denne sammenhæng, vil den kalde på en DLL-fil af den navnebringer, der er manipuleret, og når den ondsindede fil er udført på dens sted ved titelforvirring, vil koden på den udformede DLL udføre, hvilket giver en ekstern angriber adgang til systemet for yderligere at downloade og sprede malware.

For at klare alt dette er der desværre ingen afbødningstrin, teknikker eller opdateringer offentliggjort af sælgeren endnu, men en opdatering kan forventes meget snart på grund af den kritiske grad af alvorligheden af ​​risikoen for en sådan udnyttelse.