发布日期：2013-06-17
更新日期：2013-12-03

受影响系统：

Microsoft EMET 4.0 Beta
Microsoft EMET 3.5 Tech Preview

不受影响系统：

Microsoft EMET 4.0

描述：

---

BUGTRAQ  ID: 64022
CVE(CAN) ID: CVE-2013-6791

EMET是微软出品的一个系统安全增强软件。通过综合多种安全机制，使针对被保护进程的缓冲区溢出等类型的漏洞攻击难以成功。但EMET在实现上存在隐患，导致对抗ROP的防护措施实际上反而更有利于实施ROP攻击。

EMET从2.1版到最新的4.0 Beta版，都内置了类似微软Detours的Hook引擎，并在固定地址0x6fff0000处分配了一块0x10000大小的具有可执行属性的内存。

从EMET 3.5 Tech Preview版开始，EMET通过Hook相关函数等方式增加了对ROP的防护。但进行Inline Hook时所用的跳转代码被存放在固定地址的0x6fff0000的内存块中
（除非分配前已经被占据）。在这块内存中保存了很多被Hook的函数的实际地址，而且偏移是固定的。

也就是说，EMET在Hook系统API以对抗ROP的同时，实际上同时提供了更便于ROP的地址，这些地址甚至不受系统ASLR的影响而始终固定。攻击者可以利用EMET提供的这些固定地址直接进行ROP攻击而无需考虑ASLR的影响。

<*来源：Yu Yang
  *>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 暂时禁用EMET。

厂商补丁：

Microsoft
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://technet.microsoft.com/security/bulletin/
http://blogs.technet.com/b/srd/archive/2013/06/17/emet-4-0-now-available-for-download.aspx

浏览次数：2441
严重程度：0（网友投票）