Instagram_RCE：Instagram APP遠(yuǎn)程代碼漏洞

研究人員在Facebook Instagram安卓和iOS版本APP中發(fā)現(xiàn)了一個高危漏洞，攻擊者利用該漏洞可以拒絕用戶訪問APP，完全控制用戶賬戶，甚至利用手機設(shè)備監(jiān)聽用戶。

漏洞細(xì)節(jié)

該漏洞存在于Instagram處理圖像的方式中，從技術(shù)上將該漏洞是一個堆溢出漏洞（CVE-2020-1895），當(dāng)Instagram嘗試發(fā)送大一點的文件時會觸發(fā)該漏洞。攻擊者只需通過常見的消息平臺或郵件向攻擊目標(biāo)發(fā)送精心偽造的圖片就可以觸發(fā)該漏洞。

有漏洞的函數(shù)為read_jpg_copy_loop，會在解壓縮過程中引發(fā)整數(shù)溢出。

Read_jpg_copy_loop代碼段

在處理JPEG圖像文件時，有漏洞的函數(shù)會處理圖像尺寸。下面是有漏洞的代碼的偽代碼：

width=rect->right-rect->bottom;

height=rect->top-rect->left;

allocated_address=__wrap_malloc(width*height*cinfo->output_components);//output_scanline;

if((unsigned int)output_scanline>=cinfo->output_height)

break;

//reads one line from the file into the cinfo buffer

jpeg_read_scanlines(cinfo,line_buffer,1);

if(output_scanline>=Rect->left&&output_scanline<Rect->top)

{

memcpy(allocated_address+bytes_copied,line_buffer,width*output_component);//<--Oops

bytes_copied+=width*output_component;

}

}

其中：

_wrap_malloc函數(shù)會根據(jù)圖像尺寸的3個參數(shù)來分配內(nèi)存塊。Width和height都是16位的整數(shù)（uint16_t）。

cinfo->output_component告訴我們有多少個字節(jié)用來表示每個像素。變量的值分別代表不同的意思，1表示Greyscale、3表示RGB、4表示RGB+AlphaCMYK等。

除了height和width外，output_component也可以完全被攻擊者控制。因為在分析的過程中并不會與文件中的其他數(shù)據(jù)進行驗證。

__warp_malloc希望其參數(shù)在32位的寄存器中進行處理。也就是說如果分配的大小超過(2^32)字節(jié)，那么就可以引發(fā)整數(shù)溢出。

分配的大小是通過圖像的width乘height再乘以output_components得到的。因為沒有檢查，那么一旦被攻擊者所控制，進一步濫用后就會引發(fā)整數(shù)溢出。

__wrap_malloc(width*height*cinfo->output_components);//<----Integer overflow

然后緩存被傳遞給memcpy，引發(fā)基于堆的緩存溢出。

分配后，memcpy函數(shù)會被調(diào)用，然后復(fù)制圖像數(shù)據(jù)到分配的內(nèi)存中。

復(fù)制的過程是一行一行進行的：

memcpy(allocated_address+bytes_copied,line_buffer,width*output_component);//<--Oops

size(width*output_component)數(shù)據(jù)也會被復(fù)制height次。

為了引發(fā)內(nèi)存奔潰，還需要溢出決定分配大小的整數(shù)，計算的結(jié)果必須要大于32比特。當(dāng)復(fù)制的數(shù)據(jù)大于2^32(4GB)時，如果循環(huán)到了一個無法映射的頁面，程序大概率會奔潰：

Instagram_RCE：Instagram APP遠(yuǎn)程代碼漏洞

漏洞利用

從漏洞利用的角度來看，一個線性堆溢出漏洞使得攻擊者可以控制分配的大小、溢出的數(shù)、以及溢出內(nèi)存區(qū)域的內(nèi)容。

攻擊者利用該漏洞可以按照如下步驟：

通過郵件、WhatsApp、短信等方式發(fā)送惡意圖片給受害者；

如果用戶保存圖片，并打開Instagram APP，那么漏洞利用就開始了，攻擊者就可以遠(yuǎn)程完全控制目標(biāo)手機；

漏洞利用會使得受害者的Instagram APP持續(xù)奔潰，除非卸載后重新安裝。

Instagram_RCE：Instagram APP遠(yuǎn)程代碼漏洞

補丁

Facebook已于今年春季修復(fù)了該漏洞，F(xiàn)acebook稱沒有發(fā)現(xiàn)任何漏洞在野利用的跡象。