Sårbarhet i DLL-injektion och kodutförande i v54.5.90 låter hackare sprida skadlig programvara

Dropbox

En sårbarhet med DLL-kapning och kodkörning har hittats i den molnbaserade lagringslösningen: Dropbox. Sårbarheten påträffades först tidigare i veckan efter att den visade sig påverka Dropbox version 54.5.90. Sedan dess har sårbarheten utforskats och undersökts, vilket nu gör det till informationsfronten för användare att akta sig.

Enligt de exploateringsdetaljer som publicerats av ZwX Security Researcher befinner sig sårbarheten att finnas i DropBox för Windows, i programmets version 54.5.90 som tidigare nämnts. Sårbarheten kommer från slinghål och avvikelser i 4 specifika bibliotek. Dessa bibliotek är: cryptbase.dll, CRYPTSP.dll, msimg32.dll och netapi32.dll. Sårbarheterna uppstår från spelrummet i dessa bibliotek och återgår till påverkan och orsakar också funktionsfel hos samma bibliotek, vilket resulterar i en övergripande dragning av Dropbox-molntjänsten.

Sårbarheten kan utnyttjas på distans. Det möjliggör för en obehörig skadlig angripare att utnyttja DLL-laddningssårbarheten genom att ändra DLL-samtalen i fråga så att en skadligt utformad DLL-fil felaktigt öppnas med förhöjda behörigheter (som beviljas för system-DLL-filer). En användare vars enhet genomgår denna exploatering kommer inte att inse det förrän processen har utnyttjats för att injicera skadlig kod i systemet. DLL-injicering och körning körs i bakgrunden utan att någon användarinmatning krävs för att köra sin godtyckliga kod.

För att reproducera sårbarheten följer beviset på konceptet att först en skadlig DLL-fil måste sättas ihop och sedan byta namn för att se ut som en traditionell Dropbox DLL-fil som tjänsten vanligtvis skulle anropa i systemet. Därefter måste den här filen kopieras till Dropbox-mappen på Windows C-enheten under Programfiler. När Dropbox har lanserats i detta sammanhang kommer den att anropa en DLL-fil av namnen som manipuleras och när den skadliga filen körs på sin plats genom titelförvirring kommer koden i den skapade DLL-filen att köras, vilket möjliggör en fjärrangripares åtkomst till systemet för att ytterligare ladda ner och sprida skadlig kod.

För att klara av allt detta finns tyvärr inga begränsningssteg, tekniker eller uppdateringar publicerade av säljaren ännu, men en uppdatering kan förväntas mycket snart på grund av den kritiska graden av risk för en sådan exploatering.