Изследователи по сигурността са разработили инструмент за сканиране на популярния офис софтуер за уязвимости в сигурността и вече са открили повече от 100 такива в Microsoft Word, Adobe Acrobat и Foxit Reader.

Инструментът, известен като Cooper, подхожда към сканирането на уязвимости, като разглежда начина, по който офис софтуерът интегрира езици за програмиране като JavaScript и Python, за да изпълнява автоматизирани функции като манипулиране на файлове.

Изследването, в съавторство на Пенг Шу, Янхао Уонг, Хонг Ху и Пуруи Су от Училището по киберсигурност към Университета на Китайската академия на науките, представи инструмента и подчертава уязвимостите, причинени от взаимодействието на езици на високо и ниско ниво. .

В изследователска статия, описваща подробно инструмента  Cooper, изследователите казват, че е необходим „свързващ слой“, за да преведе по същество действията на скрипта, написани на езици от високо ниво като JavaScript и Python, в код, който може да бъде интерпретиран от езици от ниско ниво. (C/C++), използван за внедряване на действията на скрипта в самия софтуер.

Този свързващ слой е склонен да създава непоследователни представяния на скриптовете и понякога може също да пренебрегне важни проверки за сигурност, което води до откриване на „сериозни уязвимости в сигурността“ на софтуера.

След като стартираха Cooper на Adobe Acrobat, Microsoft Word и Foxit Reader, изследователите успяха да намерят общо 134 нови грешки – 60 за Adobe Acrobat, 56 в Foxit Reader и 18 в Microsoft Word.

Повечето от грешките, открити от Cooper като част от изследването (103), са потвърдени и 59 от тях вече са отстранени, което дава на изследователите 22 000 долара награди за открити бъгове.

Издадени са и общо 33 CVE (официални, проследими кодове за уязвимост), включително CVE-2021-21028 и CVE-2021-21035 – двойка грешки в Adobe Acrobat, всяка с оценка 8,8 по скалата за сериозност на CVSSv3.

Изследователите са използвали fuzzing, за да тестват за уязвимости в програмите – техника, която обикновено се използва в такива изследвания и включва произволно генериране на голям брой входове, които се подават в програмата, за да се подчертаят поведенческите аномалии, казаха авторите на изследването.

Имаше ограничения за използването на техниката и изследователите разработиха „нови техники“: групиране на обекти, извод за статистически взаимоотношения и мутация, ръководена от връзката, за да се справят с тях. Ограниченията на размиването се крият в начина, по който той изследва мутацията на кода.

Fuzzing е едноизмерен, тъй като модифицира изрази само от кода на високо ниво, но обвързващите оператори получават входни данни от две измерения – кода на високо ниво в скриптовете и кода на ниско ниво в основната система. Това ограничение означава, че всяка грешка в кода за свързване не може да бъде открита само в едно измерение.

Това беше доказано от изследователите, които също използваха съществуващия Domato JavaScript fuzzer в експеримента, който откри значително по-малко грешки от Cooper. Изследователите планират да пуснат отворения код за Cooper чрез своята страница в GitHub, така че общността да може да помогне за изграждането му и допълнително да подобри сигурността на свързващите слоеве.

Източник: По материали от Интернет
Share on facebook
Share on twitter
Share on linkedin
Share on email

Подобни публикации

Смърф атаките

Smurf е разпределена атака с отказ на услуга (DDoS), при която напа...

ФБР предупреждава за нова банкова измама

ФБР  издаде сигнал по-рано този месец, в който подробно описва нов ...
11 май 2022

Как да замъглите къщата си в Google Maps

Може би вече сте забелязали, но лицата на хората в Street View на G...
10 май 2022

Коста Рика обявява извънредно положение заради ...

Съобщава се, че новият президент на Коста Рика Родриго, Чавес Робле...

Преглед на WatchGuard Firebox M670

Поглеждайки в горната част на семейството на уреди за сигурност на ...
10 май 2022

Salesforce придобива Troop.ai

Salesforce обяви окончателно споразумение за закупуване на Tropps.a...

Panda Free Antivitus отново е най-добрият безпл...

Panda отново е номер 1. Тестовете за производителност на AV-Compara...

Microsoft прави Defender for Business общодостъпен

Microsoft вече направи достъпна самостоятелната версия на Microsoft...

Google подобрява защитата на клиентите на Play ...

Следвайки лидерството, зададено от Apple, Google обеща да защити по...

Мнения и коментари

(0.0)
0.0/5
{{ reviewsTotal }} Review
{{ reviewsTotal }} Reviews
{{ options.labels.newReviewButton }}
{{ userData.canReview.message }}
Бъдете социални
Share on facebook
Share on twitter
Share on linkedin
Share on email
Още по темата
16/04/2022

РАНСЪМУЕР АТАКИТЕ НАМАЛЯХА ...

Броят на атаките с ransomware е...
13/04/2022

ВЕЛИКОБРИТАНИЯ ЗАПОЧВА ДА Р...

Нарастващата популярност на криптовалутите започна да...
11/04/2022

АКТИВНО И ПАСИВНО РАЗУЗНАВА...

Хакерството е професия, която изисква много...
Последно добавени
11/05/2022

Смърф атаките

Smurf е разпределена атака с отказ...
11/05/2022

ФБР предупреждава за нова б...

ФБР  издаде сигнал по-рано този месец,...
11/05/2022

Как да замъглите къщата си ...

Може би вече сте забелязали, но...
Ключови думи