[하루한줄] PuzzleMaker: 실제 공격에 사용된 Exploit chain

URL

PuzzleMaker attacks with Chrome zero-day exploit chain

Target

Google Chrome <= 90.0.4430.85

Windows

Explain

최근 여러 기업에 대한 고도로 표적화된 공격이 감지되었습니다. Kaspersky technologies의 분석에 따르면 해당 공격들은 구글 Chrome(CVE-2021-21224)과 Windows(CVE-2021-31955, CVE-2021-31956) 제로데이 Exploit chain을 사용합니다.

  • CVE-2021-21224

    90.0.4430.85이전 Chrome의 V8에는 Type confusion 취약점이 존재해 해커로 하여금 악성 HTML 페이지를 통해 원격으로 임의 코드 실행을 할 수 있게 합니다.

  • CVE-2021-31955

    ntoskrnl.exe에 존재하는 정보 노출 취약점입니다. Windows OS의 SuperFetch 기능을 악용한 것으로 NtQuerySystemInformation함수에 의해 반환된 SuperFetch 정보 클래스에 EPROCESS 커널 주소를 포함하기 때문에 발생합니다.

  • CVE-2021-3195

    ntfs.sys에 존재하는 heap-based buffer overflow취약점입니다.NTFSQUeryEaUserEaList는 파일에 대한 확장 attribute 목록을 처리하고 버퍼에 저장합니다. 해당 기능은 output 버퍼의 크기를 제어할 수 있고 32비트 alignment로 정렬합니다. Output 버퍼의 패딩 기능에 integer underflow 검사가 없어서 Heap overflow가 발생합니다.