发布日期：2013-06-17
更新日期：2013-12-03
受影响系统：
Microsoft EMET 4.0 Beta
Microsoft EMET 3.5 Tech Preview
不受影响系统：
Microsoft EMET 4.0
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 64022
CVE(CAN) ID: CVE-2013-6791
EMET是微软出品的一个系统安全增强软件。通过综合多种安全机制，使针对被保护进程的缓冲区溢出等类型的漏洞攻击难以成功。但EMET在实现上存在隐患，导致对抗ROP的防护措施实际上反而更有利于实施ROP攻击。
EMET从2.1版到最新的4.0 Beta版，都内置了类似微软Detours的Hook引擎，并在固定地址0x6fff0000处分配了一块0x10000大小的具有可执行属性的内存。
从EMET 3.5 Tech Preview版开始，EMET通过Hook相关函数等方式增加了对ROP的防护。但进行Inline Hook时所用的跳转代码被存放在固定地址的0x6fff0000的内存块中
（除非分配前已经被占据）。在这块内存中保存了很多被Hook的函数的实际地址，而且偏移是固定的。
也就是说，EMET在Hook系统API以对抗ROP的同时，实际上同时提供了更便于ROP的地址，这些地址甚至不受系统ASLR的影响而始终固定。攻击者可以利用EMET提供的这些固定地址直接进行ROP攻击而无需考虑ASLR的影响。
<*来源：Yu Yang
*>
建议：
--------------------------------------------------------------------------------
临时解决方法：
如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：
* 暂时禁用EMET。
厂商补丁：
Microsoft
---------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：