发布日期：2009-03-09
更新日期：2009-03-10

受影响系统：

MKS Sp.z o.o. mks_vir 9 BETA < 1.2.0.0 - build 297

不受影响系统：

MKS Sp.z o.o. mks_vir 9 BETA build 297

描述：

---

BUGTRAQ  ID: 34039

MKS—vir是一款来自波兰的功能强大的反病毒软件。

MKS—vir的mksmonen.sys设备驱动没有正确地验证传送给IOCTL的用户提供地址，所有的IOCTL都生成为METHOD_NEITHER：

        ...
        .text:000113A7 @@ioctl_0x95FE0007:
        .text:000113A7                 cmp     [ebp+InputBufferLength], 4
        .text:000113AB                 jnb     short @@buffer_length_ok
        .text:000113AD
        .text:000113AD @@invalid_device_request:
        .text:000113AD                 mov     dword ptr [ebx], STATUS_INVALID_DEVICE_REQUEST
        .text:000113B3                 jmp     @@exit
        .text:000113B8
        .text:000113B8 @@buffer_length_ok:
        .text:000113B8                 mov     eax, [ebp+InputBuffer]
        .text:000113BB                 mov     dword ptr [eax], offset scanimpl ; Type3InputBuffer[0] <- 0xXXXXXXXX
        .text:000113C1                 jmp     @@exit
        ...

本地用户可以通过提交恶意IOCTL请求执行任意内核态代码。

<*来源：Alex （alex@aleksanet.com）
  
  链接：http://ntinternals.org/ntiadv0809/ntiadv0809.html
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://milw0rm.com/sploits/2009-MksMonEn_Exp.zip

建议：

---

厂商补丁：

MKS Sp.z o.o.
-------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.mks.com.pl/resources/files/mksvir_9_x32_build297.exe

浏览次数：2364
严重程度：0（网友投票）