Windows Shell のオーバーフロー(追加情報) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.10.23(月)

Windows Shell のオーバーフロー(追加情報)

国際 海外情報

[翻訳:関谷 麻美]
2002年3月12日

概要
 eEye Digital Security は、悪意あるコードの実行を引き起こすバッファ・オーバーフローの脆弱性を Windows Shell に発見した。
 その脆弱性は、存在しないプログラムを示す URL ハンドラ をWindows
Shell が操作する方法に存在する。
 この脆弱性のパッチは、リリースされている。
下記の URL を参照のこと。
http://www.securiteam.com/windowsntfocus/5WP0B0A6LU.html

詳細
脆弱なシステム
Microsoft Windows 98
Microsoft Windows 98 Second Edition
Microsoft Windows NT 4.0
Microsoft Windows NT 4.0 Terminal Server Edition
Microsoft Windows 2000

 Windows Shell は、開発者が自分のカスタム URL ハンドラに書き込むことができる機能を提供する。例を挙げると、ICQ、AIM、MS Conference、mIRC、Windows Media Player、Outlook/Express、その他... などのプログラムは、プログラム自体のカスタム URL ハンドラをインストールして、URL からプログラムに機能を移すことができる。

 例えば、"eeye" と呼ばれるカスタム URL ハンドラに書き込むことができ、eeye://data を要求した人はいつでも、eeye URL を処理するために書かれたものであればどんなプログラムでもそのデータを移すことができる。

 システム・レジストリで、URL ハンドラが存在しないプログラムに対しマップされた時に、問題が発生する。

 例えば AOL Instant Messenger は、HKEY_CLASSES_ROOTaim に URL ハンドラをインストールする。AIM が URL ハンドラであることを知っている理由は、AIM が URL ハンドラであることを windows shell に告げる "URL Protocol" キーが存在するからだ。

 "URL Protocol" キー用のレジストリを列挙することにより、インストールされている全ての URL ハンドラを確認できる。

 次に、インストールされ、存在しないプログラムにマップされた URL ハンドラを識別する。
 以下のフォームでURL ハンドラにマップされる。
HKEY_CLASSES_ROOTurlhandlershellopencommand
 そして、(デフォルトで)示された実行可能なプログラムなら何でも、指示された URL を処理することができる。

 AIM ハンドラ (HKEY_CLASSES_ROOTaimshellopencommand) が存在しないファイルを示した場合、URL ハンドラは URL ハンドラに移されたデータのバッファ・オーバーフローを介して利用される可能性がある。

例: aim://[buffer]
 [buffer] が 324 ぐらいのバイト数の場合。この時点で攻撃者は EIP を制御し、プログラム内の実行の流れをコントロールすることができる。つまり、攻撃者が望む全てのコードを被害者に実行させることができる。

 非常に大事なことだが、AIM もしくは URL ハンドラのプログラム自体には、何の問題もないことを明確にする。問題は、 Microsoft Windows Shell の脆弱なコードに存在する。

 特定の URL ハンドラが悪用可能となるのは、プログラムアンインストールされる際、アンインストーラーが完全にレジストリのマッピングを削除しないか、あるいはユーザがプログラムフォルダを削除し、無効になった URL マッピングをそのまま残している場合だ。

 Windows をデフォルトでインストールした場合、バッファ・オーバーフローは存在する。但し、その脆弱性を利用することは不可能だ。何故なら、デフォルトでは、存在しないファイルを示す URL ハンドラは、ないからだ。しかし、プログラムをインストールし、削除して時間が経過すると、システムは脆弱になる。

 この脆弱性は、ローカルな脆弱性だ。それは、Windows の統合された性質によるものだが、URL をサポートする全てのプログラムを使用してリモートでこの脆弱性を利用することは可能だ。例を挙げると、Outlook 電子メールにこの脆弱性を利用した攻撃の URL を送信することが可能だ。もしくは、"悪質な Web ページ"にこの攻撃の URL を埋め込み、そしてユーザにその Web ページを訪問させることができる。制御権を取得するために、リモートでシステム・プロセスをそれらの"悪質な URL"にする多数の方法がある。

 この脆弱性をローカルもしくはリモートで利用する場合、攻撃を受けるユーザの権限で攻撃者のコードが実行される。結果、その悪質な URL を実行するユーザが管理者の場合、攻撃のコードは管理者の権限で実行される。

 このバッファ・オーバーフローに対し脆弱なシステムは、数種類ある。しかし、マイクロソフトのパッチがリリースされたなら即座に適用することを推奨する。

解決策
 マイクロソフトはパッチをリリースし、この問題をセキュリティ情報で発表した。下記の URL を参照。
http://www.securiteam.com/windowsntfocus/5WP0B0A6LU.html

追加情報
eEye Digital Security がこの情報を提供した。

[情報提供:SecuriTeam]
http://www.securiteam.com/

《ScanNetSecurity》

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

国際 カテゴリの人気記事 MONTHLY ランキング

  1. 搾取される底辺サイバー犯罪者、無料配付トロイにはバックドア(The Register)

    搾取される底辺サイバー犯罪者、無料配付トロイにはバックドア(The Register)

  2. WPA2の新たな脆弱性への攻撃KRACK、暗号化技術の根底にある欠陥(The Register)

    WPA2の新たな脆弱性への攻撃KRACK、暗号化技術の根底にある欠陥(The Register)

  3. セキュリティ人材の慢性不足、海外の取り組みは(The Register)

    セキュリティ人材の慢性不足、海外の取り組みは(The Register)

  4. SMSによる二要素認証が招くSOS(The Register)

  5. 「Tor 禁止令」を解く Facebook、暗号化の onion アクセスポイントを宣伝~これからは暗号化通信も完全に OK(The Register)

  6. フィッシング詐欺支援サービスの価格表(The Register)

  7. iCloudからの女優のプライベート画像流出事件、容疑者がフィッシングの罪を大筋で認める

  8. Mac OS X のシングルユーザモードの root アクセス(2)

  9. AWS 設定ミスでウォールストリートジャーナル購読者情報他 220 万件流出(The Register)

  10. 「過激派の」Tails や Tor を使っている? おめでとう、あなたは NSA のリストに載っている~Linux 情報サイトの読者や、プライバシーに関心を持つネット市民が標的にされているとの報告(The Register)

全カテゴリランキング

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×