CVE-2014-0515 Adobe Flash Player Shader(Pixel Bender) BOF 취약점

# 취약점 정보 :

CVE Number : CVE-2014-0515
Adobe 보안권고문 : apsb14-13 (http://helpx.adobe.com/security/products/flash-player/apsb14-13.html)
영향을 받는 버전 : Adobe Flash Player 13.0.0.182 이전 (Windows 기준)

# 취약점 원인 :

* Adobe Pixel Bender :
이미지 내용을 만들거나 조작하는 데 사용되는 프로그래밍 언어로, Pixel Bender를 사용하면 셰이더라고도 하는 커널을 만들 수 있고 셰이더는 이미지의 각 픽셀에 대해 개별적으로 실행되는 단일 함수를 정의함.
ShaderData 는 대충 이런 정보들을 담고 있다고 함.

속성	데이터 유형	값
name	String	“DoNothing”
nameSpace	String	“Adobe::Example”
version	String	“1”
description	String	“A shader that does nothing, but does it well.”
src	ShaderInput	[A ShaderInput instance]
size	ShaderParameter	[A ShaderParameter instance, with properties for the parameter metadata]
radius	ShaderParameter	[A ShaderParameter instance, with properties for the parameter metadata]

Adobe 는 해당 데이터를 접근하기 위해서 다음 패키지를 제공하고 있다.

import flash.display.Shader;
var shader:Shader = new Shader();
shader.byteCode = loader.data;

<출처: http://help.adobe.com/ko_KR/FlashPlatform/reference/actionscript/3/flash/display/ShaderData.html>

# 공격페이로드 :

다음이 데이터를 읽어서 처리하는 즉 취약점을 발생시키는 트리거 코드가 들어 있다.

해당 악성 SWF 파일의 공격 페이로드는 2단계로 나뉘어져 있다.

첫 번째 쉘코드는 두 번째 쉘코드를 위해 실행 가능한 공간을 할당하고 코드를 데이터를 복사한 후, 두번째 쉘코드의 첫 지점으로 점프하는 역할을 수행한다.

두 번째 쉘코드가 바로 공격자가 최종적으로 원하는 악의적인 행위를 수행하는 코드이다.

참고로, 최근 다양한 취약점(CVE-2014-0322, CVE-2014-1776, ….) 에서는 Flash 상의 Array 오브젝트의 길이를 변형하고, 원하는 쉘코드를 실행하기 위해 Flash Sound 오브젝트의 vftable 포인터를 조작하는 방법이 사용되고 있다.