发布日期：2009-06-04
更新日期：2009-06-08

受影响系统：

Tall Emu Online Armor Personal Firewall v3.5
Tall Emu Online Armor Personal Firewall AV+

描述：

---

BUGTRAQ  ID: 35227

Online Armor是澳大利亚Tall Emu开发的个人防火墙。

Online Armor防火墙的OAmon.sys驱动在处理用户所提交的IOCTL请求时没有执行正确的地址空间验证，本地非特权用户可以向任意地址写入任意数据，导致执行任意内核态代码。

        ...
        .text:00013E8D @@ioctl_830020C3:
        .text:00013E8D                 mov     eax, [ebp+OutputBuffer]        ; UserBuffer
        .text:00013E90                 mov     dword ptr [eax], 1             ; UserBuffer[0] = 1
        .text:00013E96                 mov     eax, edi
        .text:00013E98                 mov     dword ptr [eax], 4
        .text:00013E9E                 jmp     @@return_false
        ...

<*来源：NT Internals
  
  链接：http://www.ntinternals.org/ntiadv0806/ntiadv0806.html
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://www.ntinternals.org/ntiadv0806/OAmon_Exp.zip

建议：

---

厂商补丁：

Tall Emu
--------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.tallemu.com/product_overview.html

浏览次数：2496
严重程度：0（网友投票）