RGui 3.5.0 Lokale Buffer Overflow SEH DEP Bypass
Platform
windows
Component
r-gui
Opgelost in
3.5.1
CVE-2018-25258 beschrijft een buffer overflow kwetsbaarheid in RGui versie 3.5.0. Deze kwetsbaarheid stelt aanvallers in staat om DEP-bescherming te omzeilen door middel van structured exception handling exploitatie, wat kan leiden tot het uitvoeren van willekeurige code. De kwetsbaarheid is te vinden in de GUI-voorkeuren dialoog, specifiek in het veld voor talen voor menu's en berichten. Er is momenteel geen officiële patch beschikbaar.
Impact en Aanvalsscenarios
CVE-2018-25258 treft RGui versie 3.5.0 en introduceert een lokale buffer overflow kwetsbaarheid in het GUI voorkeuren dialoogvenster. Een lokale aanvaller kan deze fout uitbuiten om willekeurige code op het systeem uit te voeren. De kwetsbaarheid bevindt zich in het veld 'Taal voor menu's en berichten', waar kwaadaardige invoer een buffer overflow op de stack kan veroorzaken, waardoor DEP (Data Execution Prevention) bescherming kan worden omzeild door middel van gestructureerde uitzonderingsafhandeling. De aanvaller kan een ROP (Return-Oriented Programming) keten maken voor VirtualAlloc toewijzing, waardoor code-uitvoering wordt vergemakkelijkt. De ernst van de kwetsbaarheid wordt beoordeeld als 8,4 op de CVSS schaal, wat een aanzienlijk risico aangeeft. Er is geen officiële fix uitgebracht voor deze kwetsbaarheid.
Uitbuitingscontext
Exploitatie van CVE-2018-25258 vereist lokale toegang tot het systeem waarop RGui 3.5.0 wordt uitgevoerd. De aanvaller moet in staat zijn om het veld 'Taal voor menu's en berichten' binnen het GUI voorkeuren dialoogvenster te manipuleren. De aanval omvat het maken van kwaadaardige invoer om een buffer overflow op de stack te veroorzaken. De aanvaller maakt vervolgens gebruik van gestructureerde uitzonderingsafhandelingstechnieken om DEP-bescherming te omzeilen en een ROP-keten te creëren die VirtualAlloc geheugentoewijzing mogelijk maakt. Ten slotte kan de aanvaller willekeurige code in de context van het RGui-proces uitvoeren. De complexiteit van de aanval is gematigd en vereist een basisbegrip van systeemarchitectuur en buffer overflow exploitatietechnieken.
Wie Loopt Risicowordt vertaald…
Users of RGui versions 3.5.0 through 3.5.0 are at risk, particularly those who allow untrusted users access to the application's preferences dialog. Systems where RGui is used for sensitive tasks or data processing are at higher risk due to the potential for arbitrary code execution.
Detectiestappenwordt vertaald…
• windows / supply-chain:
Get-Process -Name RGui | Select-Object -ExpandProperty Path• windows / supply-chain:
Get-WinEvent -LogName Application -FilterXPath '//Event[System[Provider[@Name='Microsoft-Windows-SysInternals-Autoruns']]]'• windows / supply-chain: Check registry keys for unusual entries related to RGui startup or configuration. • windows / supply-chain: Monitor for suspicious processes with unusual command-line arguments or parent processes.
Aanvalstijdlijn
- Disclosure
disclosure
Dreigingsinformatie
Exploit Status
EPSS
0.02% (4% percentiel)
CISA SSVC
CVSS-vector
Wat betekenen deze metrics?
- Attack Vector
- Lokaal — aanvaller heeft een lokale sessie of shell op het systeem nodig.
- Attack Complexity
- Laag — geen speciale voorwaarden vereist. Betrouwbaar uitbuitbaar.
- Privileges Required
- Geen — geen authenticatie vereist om te exploiteren.
- User Interaction
- Geen — automatische en stille aanval. Slachtoffer doet niets.
- Scope
- Ongewijzigd — impact beperkt tot het kwetsbare component.
- Confidentiality
- Hoog — volledig verlies van vertrouwelijkheid. Aanvaller kan alle gegevens lezen.
- Integrity
- Hoog — aanvaller kan alle gegevens schrijven, aanpassen of verwijderen.
- Availability
- Hoog — volledige crash of uitputting van resources. Totale denial of service.
Getroffen Software
Zwakheidsclassificatie (CWE)
Tijdlijn
- Gereserveerd
- Gepubliceerd
- Gewijzigd
- EPSS bijgewerkt
Mitigatie en Workarounds
Aangezien er geen officiële fix beschikbaar is, is de primaire mitigatie om het gebruik van RGui versie 3.5.0 te vermijden. Als het gebruik van RGui essentieel is, beperk dan de GUI toegang tot vertrouwde gebruikers met minimale privileges. Het monitoren van systeemactiviteit op verdacht gedrag kan helpen bij het detecteren van potentiële aanvallen. Het is ook aan te raden om best practices voor beveiliging toe te passen, zoals het up-to-date houden van het besturingssysteem en andere applicaties met de nieuwste beveiligingspatches. Migratie naar een nieuwere versie van RGui, indien beschikbaar, is de meest effectieve langetermijnoplossing. Het ontbreken van een officiële patch benadrukt het belang van deze preventieve maatregelen.
Hoe te verhelpenwordt vertaald…
Actualice a una versión corregida de RGui. La versión 3.5.0 es la última versión afectada, por lo que se recomienda actualizar a una versión posterior si está disponible. Verifique el sitio web del proyecto R para obtener más información sobre las actualizaciones.
CVE Beveiligingsnieuwsbrief
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Veelgestelde vragen
Wat is CVE-2018-25258 — Buffer Overflow in RGui?
Een buffer overflow treedt op wanneer een programma data schrijft voorbij de toegewezen grens van een buffer, waardoor mogelijk aangrenzende data wordt overschreven en de uitvoering van kwaadaardige code wordt mogelijk gemaakt.
Ben ik getroffen door CVE-2018-25258 in RGui?
DEP (Data Execution Prevention) is een beveiligingsfunctie die de code-uitvoering van geheugengebieden voorkomt die als niet-uitvoerbaar zijn gemarkeerd, zoals de stack of heap.
Hoe los ik CVE-2018-25258 in RGui op?
ROP (Return-Oriented Programming) is een exploitatietechniek die bestaande codefragmenten (return-georiënteerde gadgets) in het geheugen gebruikt om een keten van operaties te creëren, waardoor een aanvaller willekeurige code kan uitvoeren.
Wordt CVE-2018-25258 actief misbruikt?
Nee, CVE-2018-25258 vereist lokale toegang tot het getroffen systeem. Het kan niet op afstand worden geëxploiteerd.
Waar vind ik het officiële RGui-beveiligingsadvies voor CVE-2018-25258?
Het wordt ten zeerste aanbevolen om het gebruik van RGui 3.5.0 te staken. Indien nodig, beperk dan de GUI-toegang en monitor de systeemactiviteit.
Is jouw project getroffen?
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.