 |
 |
記事検索 |
特別企画 |
 |
||
|
||
【 2009/06/11 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/09 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/08 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/04 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/06/02 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/28 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/26 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/21 】 |
||
|
||
|
||
| ||
| ||
|
||
|
||
【 2009/05/15 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/05/14 】 |
||
|
||
|
||
| ||
|
||
|
||
【 2009/04/16 】 |
||
|
||
|
||
|
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
IE 7だけでなく、他アプリにも影響が大きい未修正の脆弱性に注意 |
||||||||||
|
||||||||||
|
マイクロソフト セキュリティアドバイザリ（943521）を確認する
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
||||||||||
|
● Windows OSとIE 7だけでなく、他アプリにも影響が大きい脆弱性 先週10月11日に、多くのユーザーにとって注意が必要そうな、マイクロソフト セキュリティアドバイザリ（933521））が公開された。マイクロソフトによれば、Internet Explorer 7がインストールされた Windows XPおよびWindows Server 2003に、リモートでコードが実行される脆弱性の情報が一般に公開され、現在マイクロソフトで調査中である、ということだ。 この脆弱性情報は、脆弱性情報名標準化プロジェクト「CVE」では、CVE-2007-3896として登録されている。 CVEの登録情報によれば、この脆弱性は、IE 7がインストールされたWindowsでは、URI文字列が渡された際の「%シーケンス」の解釈を誤っている。これが原因で、mailtoスキームが使用された際に、メールクライアントソフトを起動するという動作を行なわずに他の動作をしてしまう可能性があるというものだ。 ここで注意してほしいのが、この影響を受けるソフトについてだ。 このWindowsのURI文字列を解釈してファイルを開くなどの動作をする機構はWindowsシェルが提供する機能だ。従って、Internet Explorer 7だけでなく、Windows上で動く非常に多くのソフトが影響を受けるということを意味する。 たとえば、有名どころのソフトではAdobeのAdobe readerやSkype、mIRCなど多くのメッセージングソフト、それにOutlookなどもこの脆弱性の影響を受けることが確認されている。このほか、「mailto:」という文字列があった場合にリンクを表示するようなソフトの多くが、この脆弱性の影響を受ける可能性が高いと考えられる。 ISS X-Force が公開している情報（Multiple vendor products URI handling command execution）などによれば、Mailtoだけでなく、nntp、news、snews、および telnet ハンドラにも問題がある可能性があるとされている。 なお、この脆弱性は、WindowsのURI解釈機能はWindowsにInternet Explorer7をインストールした際にIE 7ベースのプログラムにアップデートされたためにできたもので、それ以外のバージョンのInternet ExplorerがインストールされたWindowsではこの問題は起こっていない。 また、Windows VistaのWindowsシェルの実行機能には、不正なURIをはじく機構が備わっているため、やはりこの脆弱性は存在しない。 ● 非常に簡単に悪用が可能な脆弱性～実証コードも公開されている さて、このセキュリティアドバイザリからは読み取りづらいのだが、この脆弱性が問題なのは、技術的にこの脆弱性を利用するのが非常に簡単で、攻撃への悪用可能性が非常に高いのではないかと考えられることだ。セキュリティアドバイザリおよびCVEの公開情報からたどることのできる情報から判断する限りでは、この脆弱性は、特にプログラミングの知識がない悪意のユーザーでも、ターゲットのPC内にすでに入っているプログラムのパスを知っていればそのプログラムをリモートで実行させることが可能になる、というほど楽に悪用できるもののようだ。 実際、たとえば、7月にはSkypeを使った実証コードの例が紹介されているのだが、その例は実証コードですらなく、mailtoで始まる特定文字列を、Skypeのメッセージとして送ってみてください、というだけの仕掛けだった。 マイクロソフトのセキュリティアドバイザリが公開された後も、この脆弱性に関する詳しい情報は増え続けている。実証コードなども公開されているのだが、たとえば、10月16日には、セキュリティ情報をユーザーが提供するメーリングリスト「Full Disclosure」MLにおいて、「ファイルをダウンロードしAdobe Readerで開くと、Windows内の電卓が起動するPDF文書」のサンプルが公開されている。 このPDFファイルをバイナリエディタなど脆弱性の影響を受けないソフトで開いて内容を確認してみるとわかるのだが、実際に、この実証コードは、公開された情報そのままにPDFファイルに、リンクとしてmailto:ではじまる文字列が記入されているだけの非常に簡単な作りとなっている。
● 脆弱性への対処方法 マイクロソフトセキュリティアドバイザリでは、この脆弱性への対処方法として、以下のように説明している。推奨する対応策: 信頼されないリンクをたどらない、または信頼されない Web サイトをブラウズしないでください。 が、アプリケーション側で対処すれば、もう少し信頼性の高い対応策を取ることができる場合もある。つまり、可能であればアプリケーション側で、mailtoを使ったリンクがページ内にあった場合に自動的にメールクライアントを起動する機能を切ってしまうことで、この問題を防ぐことができるということだ。 たとえば、Adobe ReaderとAcrobatに関して、Adobe社は「APSA07-04 Adobe Reader とAcrobat 8.1以前における脆弱性の回避策 ）」（英文）を公開した。 ここで回避策として掲示されているのは、AcrobatとAdobe Readerのmailtoでのクライアント起動機能を止める方法だ。詳しくは上記ページに掲載されているが、Windowsのシステムレジストリにデータを書くことで機能を止めることができるようだ。 高いセキュリティレベルが必要とされる職場などでは、このような対処も臨時措置として取っておくほうがいいだろう。 また、このようなリンクが含まれる不正なデータについては、ウイルス対策ソフトでもある程度は防ぐことができると思われる。 ただし、上記はあくまで応急的な措置で、対策として最も有効なのは、マイクロソフトがこの問題に対応するセキュリティ更新プログラムの配布なのはもちろんだ。各アプリケーションでの対応よりも、Windowsを修正して根本的な対処を行なうことが望まれる。 公開されたセキュリティアドバイザリによれば、「マイクロソフトはこの脆弱性に対する Windows用のセキュリティ更新プログラムを開発しています。」とのことなので、できるだけ早急に開発を完了し、配布が開始されるよう期待したい。 関連情報 ■URL マイクロソフト セキュリティ アドバイザリ（943521） http://www.microsoft.com/japan/technet/security/advisory/943521.mspx 「APSA07-04」Adobe Reader とAcrobat 8.1以前における脆弱性の回避策（英文） http://www.adobe.com/support/security/advisories/apsa07-04.html CVEの脆弱性情報「CVE-2007-3896」（英文） http://cve.mitre.org/cgi-bin/cvename.cgi?name=2007-3896 ■関連記事 ・ IE7導入のWindows XPなどで外部からコードを実行される脆弱性（2007/10/11）
（ 大和 哲 ）
- ページの先頭へ-
|
