IBM：Notes 智能升级器中出现漏洞 更新Meltdown/Spectre 进展
翻译：360代码卫士团队
IBM 告警称 Notes 自动升级器中出现一个漏洞，可被诱骗运行恶意代码。此外，IBM 上周还更新了Meltdown/Spectre 的安全状态。
IBM 在一份安全报告中指出，负责监督发送到用户桌面的升级的Notes 智能更新器服务“可被诱骗运行伪装成临时目录中 Windows DLL的一个DLL 中的恶意代码。”
自动升级器遭攻陷会产生严重后果：用户信任自动升级器会带来安全代码，在本案例重视 Notes 的新版本。因此这类服务中产生缺陷会带来极其危险的后果。
该漏洞 CVE-2017-1711 影响 Notes 8.5 和9.0 版本。
这是丹麦信息安全公司Improsec 提交的两个漏洞之一，该公司已发布漏洞详情。作者 Lasse Trolle Borup 解释称，“该服务只是将自己复制到 TEMP 目录并执行复件，很可能是为了在升级服务必须升级自己的可执行文件。问题是，尽管一般用户无法列出 TMEP 的内容，但仍然可以写文件。通过从不受控制的位置执行文件，该服务正将自己暴露给 DLL 搜索顺序劫持 (Search Order Hijacking)。”而复现这个漏洞只需要编译他提供的 PoC 代码并提供一个静态连接 MSIMG32.dll；复制这个文件到 C:\windows\temp；然后在命令行中运行 sc control Insusvc 136 即可。
IBM 也发布了关于该漏洞的详情，因为它还影响 IBM 客户端应用访问 (IBM Client Application Access)。
IBM 上周还发布了关于 Metldown/Spectre 的修复状态。
目前 IBM 为 POWER7 至 POWER9 平台（老旧芯片已停止服务）发布了固件更新、IBM的i 操作系统补丁以及 AIX 补丁。
运行 Linux 系统的 POWER 系列用户将从所使用发行版本中收到补丁。
另外，AIX 和 VIOS 也需要修复漏洞 CVE-2018-1383，IBM 指出该漏洞“是存在于 AIX 中的一个未明确漏洞，可导致在某个系统上拥有根权限的用户获取另一台机器的根访问权限。”
关联阅读
Meltdown 和 Spectre 漏洞的相关安全公告、补丁和更新清单
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。
原文链接:
https://www.theregister.co.uk/2018/02/12/notes_dll_impersonation_bug/