WindowsのSMB v3脆弱性を悪用し、ウェブサイトのリンククリックでシステムをクラッシュさせる手法、SecureWorksが公表して注意喚起

　SecureWorks Japan株式会社は、セキュリティ修正プログラム（パッチ）が未提供のWindows 10/8.1における「SMB v3」の脆弱性と、Redirect to SMBを併用することで、DoS攻撃が可能になることを公式ブログで公表した。

　脆弱性「CVE-2017-0016」は、SMB v3以降のトラフィック処理を行う「TREE_CONNECT」コマンドパケットの応答処理におけるもの。細工されたパケットを受信するとスタックオーバーフローによりメモリ破損が起こり、システムがクラッシュする恐れがあるもので、Windows 10/8.1、Windows Server 2016/2012 R2が影響を受ける。すでにGitHubで実証コードが公開されており、米CERT/CCやSANS Internet Storm Center（ISC）が2月2日に注意を喚起している。

　この脆弱性を悪用する攻撃では、PCをSMBサーバーに接続させる必要があり、成功難易度が高いと考えられていた。しかし、SecureWorks Japanでは、SMB v3における脆弱性と、2015年に発表された「Redirect to SMB（SMBへのリダイレクト）」の手法と併用し、さらにクロスサイトスクリプティング（XSS）やHTTPヘッダーインジェクション、オープンリダイレクタといった複数の手法と組み合わせることで、ウェブサイトへのアクセスだけでファイル共有の通信を発生させ、PCをクラッシュさせてブルースクリーンにさせることを確認したという。

　攻撃者が実証コードを実行し、別のシステム上でウェブサーバーを実行。公開ディレクトリにリダイレクトを使用するPHPファイルを配置し、このファイルへのリンクをクリックさせる。

　すると、DoS攻撃を開始でき、接続先のWindows PCをクラッシュさせることができる。ただし、SMBへのハイパーリンクではシステムのクラッシュは成功しなかったという。また、システムをクラッシュさせるにはInternet ExplorerかMicrosoft Edgeでリダイレクトリンクをクリックさせる必要があり、Google ChromeとFirefoxでは、リンクをクリックしてもシステムをクラッシュさせることはできなかったとのことだ。

　SecureWorksでは、インライン画像のリンクや、ウェブアプリケーションの脆弱性を介した攻撃などについても、ブログに情報を掲載している。

　Microsoftでは2月の月例パッチ提供を延期し、3月分の月例パッチとまとめて提供するとしている。延期されたパッチの内容は公表されていないため、この脆弱性のパッチが2月分に含まれていたかどうかは不明だが、現時点でもこの脆弱性に対するパッチは提供されていない。

　米CERT/CCでは一時的な対策として、TCPポート139番およびUDPポート137/138/445番のアウトバウンドSMB接続をブロックすること推奨している。