CA Brightstor Backup Mediasvr.exe远程指令执行漏洞

涉及程序：
Computer Associates BrightStor ARCserve Backup
 
描述：
CA Brightstor Backup Mediasvr.exe远程指令执行漏洞
 
 
详细：
BrightStor ARCserve Backup可为各种平台的服务器提供备份和恢复保护功能。

BrightStor ARCserve Backup的Mediasvr.exe进程在处理特定的RPC报文数据时存在漏洞，远程攻击者可能利用此漏洞控制服务器。

Mediasvr.exe所导入的几个dll处理通过xdr过程的RPC数据时存在设计错误。RPC报文中的4个字节被处理为特定的地址，最终被加载到ECX。带有至少8字节NULL字符的191 (0xbf)号xdr过程调用会导致漏洞的触发。

.text:0040AACD 008 mov ecx, [esp+8]
.text:0040AAD1 008 mov dword_418820, esi
.text:0040AAD7 008 push offset dword_418820
.text:0040AADC 00C mov eax, [ecx]
.text:0040AADE 00C call dword ptr [eax+2Ch]

这时就可以控制ECX（esp+8为地址数据）。报文中的数据被储存在相对静态的内存中，地址被加载到EAX，最后从EAX+2Ch处执行，而这是报文中的可控数据，导致执行攻击者指定的任意指令。

<*来源：M. Shirk （http://www.shirkdog.us/shk-004.html
*>

受影响系统：
Computer Associates BrightStor ARCserve Backup 11.5.2.0 (SP2)
 
 
攻击方法：
警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://www.shirkdog.us/camediasvrremote.py
 
 
解决方案：
厂商补丁：

Computer Associates
-------------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.cai.com/