Windowsにゼロデイ攻撃を受ける深刻な脆弱性 78
ストーリー by GetSet
年賀メールにWMF…は使わないか 部門より
年賀メールにWMF…は使わないか 部門より
oddmake曰く、"Internet Watchの記事によると、デンマークSecuniaやSANS InstituteがWindows Sever 2003やWindows XPに脆弱性があると警告したという。Windowsメタファイル（WMF形式）の処理に問題があることが原因であり、脆弱性の深刻度は「非常に深刻」であり、既に攻撃コードが出回っているそうだ。
WMF形式の脆弱性は最近2年間で3度パッチがあたっており、一番最近のものは今年11月のMS05-053なのだが、この脆弱性と攻撃コードを分析したKaspersky LabsのShane CoursenがInformation Weekに語ったところによると、同じDLLがターゲットとなるが攻撃方法が違うため、MS05-053では対応できないのだという。パッチができるまで、ファイルを開いたりIEを使う時には慎重になろう。"
たれこみにんですが、本家でも記事になっていました (スコア:5, 参考になる)
REGSVR32 /U SHIMGVW.DLL ってコマンドを叩けば回避できるよ、とか流石にアレゲなコメントがありますね。っていうかどうやって調べたんだ。
/.configure;oddmake;oddmake install
Re:たれこみにんですが、本家でも記事になっていました (スコア:5, 参考になる)
マイクロソフト セキュリティ アドバイザリ (912840) [microsoft.com]に書いてあります。元ネタはUpdate on Windows WMF 0-day [sans.org]でしょう。ちなみにここには
という注意もある。拡張子なんて幾らでも誤魔化せる模様。だからJPCERT 緊急報告の対策 [jpcert.or.jp]は、対策になるのかなって気もします。Re:たれこみにんですが、本家でも記事になっていました (スコア:3, 興味深い)
Re:たれこみにんですが、本家でも記事になっていました (スコア:3, 参考になる)
Windowsの知識があれば誰でも調べられますよ。
今回の脆弱性は問題が「Windows Picture and Fax Viewer」にあるので、
その本体が実行されないようにすればとりあえずの対策にはなりそう。
↓
エクスプローラのプレビューで実行されるなら拡張子からたどれば見つかりそう。
↓
マイコンピュータ、ツール、フォルダオプションでWMFファイルの詳細設定で
ファイルを開くアプリケーションのパスを確認。
↓
C:\WINDOWS\System32\shimgvw.dllが怪しい。
↓
ファイルのプロパティーで説明が「Windows Picture and Fax Viewer」であるのを確認。
↓
本体がDLLファイルなのでregsvr32.exeを使ってシステムへの登録を解除。
↓
適当なWMFファイルを用意してプレビュー、ファイルオープン、IEで<img src=hoge.wmf>ができないことを確認。
↓
Webで公開されているデモが無効になっていることを確認。
↓
念のためセーフモードで起動してshimgvw.dllを空ファイルに置き換え。
↓
周りに伝えるためのメールの文章をまとめていたらSecurity Advisoryが出ているのに気が付いてへこむ。
気を取り直して日本語訳開始。
↓
日本語訳ができてきたらMicrosoft Japanに日本語のSecurity Advisoryが出ているのに気が付いてもっとへこむ。
↓
こんなのが一年の仕事納めか、とむなしくなる。
なにはともあれ、Windowsを扱うシステム管理者やプログラマなら
これくらいは自力で見つけられるようにしたいですね。
Re:たれこみにんですが、本家でも記事になっていました (スコア:1, 参考になる)
# 正直、Windows関連に対するスラドのコメントはちょっと酷い
Re:たれこみにんですが、本家でも記事になっていました (スコア:1)
Norton AntiVirus シリーズは未対策? (スコア:5, 参考になる)
Firefox 1.5 で、#856990 [srad.jp] のリンク先にある、電卓が開くデモをダウンロードしてみましたが、何の警告もなしにローカルマシンにダウンロードされ(*)、電卓が起動しました。(場合によっては Explorer がクラッシュ)
(* Norton 先生が何も警告しなかったという意味であり、Firefox 自身は確認のダイアログボックスを出します。念のため)
OS は Windows XP SP2, Norton AntiVirus のバージョンは 11.0.16.2 (Norton Internet Security 2005), ウイルス定義は 2005/12/28 版、BloodHound は有効(最高の保護レベル)です。
従って、Norton AntiVirus において件の対策が本当に行われているのか、有効に機能しているのかは、はなはだ疑問と言わざるを得ません。
Re:Norton AntiVirus シリーズは未対策? (スコア:2, 参考になる)
ノートンはスルーしましたが、メタファイルをWindows 画像とFAXビューアーで開こうとした直後にDEPでアプリが止まりました。
Athlon64なので、ハードウェアでDEPサポートしてるせいかもしれませんけど。
マカフィー VirusScan Enterprise 8.0i + DAT4661 では…… (スコア:1)
Re:Norton AntiVirus シリーズは未対策? (スコア:1)
Norton AntiVirus(Navw32.exe)のバージョンは10.0.10.13です。
なんか設定おかしくないですか?
Re:Norton AntiVirus シリーズは未対策? (スコア:1)
IEでもFirefox1.5でも実行・保存選択ダイアログ表示直後に「bloodhound.Exploit.56」が警告検出されました＞電卓デモ
（XP Pro SP2）
友人１が全システム再インストールというのが今のところの被害です
******* plup "fiction" ********
セキュリティホールmemoのまとめ記事 (スコア:3, 参考になる)
McAfeeだとbuffer overflowを検出してセーフらしいので一安心。
具体的に何が起こるのか (スコア:2, 興味深い)
ということでリンク先のInternetWatchからの引用
---
> 攻撃コードの含まれたHTMLファイルが、Windows XP SP2に影響を
> およぼすトロイの木馬をダウンロードするWMFファイルを動作させる。
> このトロイの木馬が、偽のスパイウェア対策／ウイルス対策ソフトを
> 装ったプログラム「Winhound」ダウンロードするという。
---
なるほど、これは怖い。
あわててパターンファイルを2005/12/21から2005/12/28にアップデートしたところ、
http://www.symantec.com/avcenter/venc/data/bloodhound.exploit.56.html [symantec.com]
ではなく、
http://www.symantec.com/avcenter/venc/data/bloodhound.exploit.6.html [symantec.com]
がゴロゴロと出てきてびっくりしました。
> Discovered on: February 13, 2004
> Last Updated on: September 14, 2005 12:09:29 PM
って…いつのやねん！みたいなね。
Re:具体的に何が起こるのか (スコア:5, 参考になる)
他に、 電卓が開くデモ [flagbind.jp]があります。ですから、何でもできるという事と、既にあちこちで悪用されているという事です。
攻撃コードもモロに公開されている [frsirt.com]し、Metasploit でもモジュールになっている [metasploit.com]ので、危険性は著しく高いと思います。
Re:具体的に何が起こるのか (スコア:2, 参考になる)
- 問題のWMFファイルをデスクトップに置く
- 問題のWMFファイルが入ったフォルダを開く
これだけでもWMFファイルに仕込まれたシェルコードが実行されてしまったのが強烈です。プレビューを作成するために自動的にWMFファイルを処理しようとするのでしょうか?
ユーザの誤操作に関係なく問答無用でコマンドを実行させることが出来るので、悪用されると非常に怖いと思います。
Re:具体的に何が起こるのか (スコア:2, 参考になる)
私の環境では、[電卓ぅぅぅう]のリンクをクリックして、
開く → ノートン先生は素通ししたが、Paint Shop Pro がファイルを開こうとしてエラー。電卓は起動しなかった
保存するだけ → OK
でした。
IEでその場で開かなければ問題ないのかもしれませんが、
保存した後の「フォルダを開くだけ」は防げませんでした。
逆に保存したほうが危険とは、恐ろしいですね……
『月面兎兵器ミーナ』2007年1月13日から放送開始
Re:具体的に何が起こるのか (スコア:2, 参考になる)
何かwmfに偽装したウイルスに取り憑かれたのかと思ったのですが，この脆弱性を利用したコードがエロサイトに仕掛けられていたのですね．
2000は？ (スコア:2, 参考になる)
電卓が開くデモは動いたんですが、場合によっては
やはり影響を受けるってことかな？
（保存してもどうってことは無いが開くと電卓が起動する）
--------------------
/* SHADOWFIRE */
Re:W2Kにも影響あり (スコア:1)
攻撃コードより (スコア:1)
Re:攻撃コードより (スコア:3, 参考になる)
Microsoft Windows AntiSpyware (Beta) [microsoft.com]で対処できると書かれています。
# パッチが出るのは時間の問題ですが、その時間が問題です。
Re:攻撃コードより (スコア:3, 参考になる)
(緩和条件に含まれていない)
> お客様は ウイルス対策ソフトウェア を最新にされることを推奨します。Microsoft Windows AntiSpyware (Beta) (英語版のみ) も、お客様のコンピュータをスパイウェアや別の潜在的に迷惑なソフトウェアから守ることが可能です。マイクロソフトは、これらの公開された報告を引き続き調査する予定です。
と宣伝のように載っているだけです。
…って、知り合いの猫に突っ込まれた
Re:攻撃コードより (スコア:2, 参考になる)
とりあえず、WMFへの関連付けを外して対処しましたが、AntiSpywareが入っているからといって安心できないようです。
#何か設定を間違っているのでしょうか？realtime protectionは全てONになっているのですが…
NOD32の場合 (スコア:2, 参考になる)
ちなみに私は切断の方を選択しましたので、自動的にサイトから切断されて、無害でした。
本当に怖いですね…。
Super Souya
Re:攻撃コードより (スコア:1, 参考になる)
トロイの木馬が発見された旨の警告が出て、アクセスが
キャンセルされました。
IT mediaの方にも (スコア:1, 参考になる)
それ以外は結構読みやすいと思うので、目を通してみると
良いかも知れません。
Handler's Diary(2006-01-01)から (スコア:1)
またWMF FAQ [sans.org]がまとめられている。
ほか、いろいろ。
正式なセキュリティ修正プログラムがリリースされています。 (スコア:1)
http://www.microsoft.com/japan/technet/security/bulletin/ms06-001.mspx
1.非公式パッチを導入している場合
→非公式パッチのアンインストール
2.アドバイザリ*2にしたがって、「regsvr32 -u %windir%\system32\shimgvw.dll」を実行している場合
→「regsvr32 %windir%\system32\shimgvw.dll」を実行しておく
を忘れないようにしましょう～。
By花Ｚ
パッチができるまで？ (スコア:0)
Re:パッチができるまで？ (スコア:1, すばらしい洞察)
Re:パッチができるまで？ (スコア:1)
実際IE以外のブラウザの場合はどうなんでしょうね。
手元のWindows環境のFirefoxで実証サイトを開いたら、WMFファイルをダウンロードするか質問するダイアログが開くものの、メモ帳等の自動実行までには至りませんでした。
Re:パッチができるまで？ (スコア:1)
うちのマシンではMedia Playerではなくてペイントツールで開こうとします。ツール自体はWMFに対応していますが、エラーが出て開けません。
WMFを扱えないMedia Playerで開こうとするのは、おそらくOS側の関連付けがおかしなことになっているだけだと思います。
Re:パッチができるまで？ (スコア:0)
Re:Windows を使わなければいい (スコア:5, すばらしい洞察)
Linuxを使う。それ『だけ』では安全にならない事をいい加減自覚すべき。
もっとも、きちんと管理されたLinuxは安全である事はたしか。
しかし、きちんと管理されていないLinuxとWindowsと、どっちが危険か？という疑問は愚問である。
Re:Windows を使わなければいい (スコア:2, 興味深い)
ようするにシェア問題ですね。今はWindowsのシェアが大きすぎて集中砲火を受けてますから。
linuxやMacOSのシェアを拡大することで、集中砲火が避けられる、という意味では、使う「だけ」でも現状よりは相当リスクが軽減されるんじゃないでしょうかね。
Re:Windows を使わなければいい (スコア:1, フレームのもと)
そうですねぇ・・・「無防備なパソコンをネットにつなぐと20分でウイルス感染」 [nikkeibp.co.jp]とか、パッチ未適用のWindowsシステム、「生存時間」は約20分--米調査 [cnet.com]とかで、そもそもネットから Windows Update する前に感染しちゃうとか、そこまで酷くは無いですからね。Linux は。それでも危険性は同じだって主張するのは無茶でしょう。
Re:Windows を使わなければいい (スコア:3, おもしろおかしい)
Re:Windows を使わなければいい (スコア:1)
Re:Windows を使わなければいい (スコア:1, 興味深い)
また、それを踏まえた上でどちらの方が高いセキュリティを確保できますか？
そんなわけで、セキュリティを考えた上でLinuxではなく、Windowsが勧められる。
適正に保守される(事を前提とした)Windows
VS
適正に保守できない(事を前提とした)Linux
この構図、ぜひとも崩していただきたいですな。
Re:Windows を使わなければいい (スコア:2)
- Before You Connect a New Computer to the Internet [cert.org]
- ワームに感染しない Windows 2000/XP のインストール手順 [nyanta.jp]
- 再インストール時に注意 [impress.co.jp]
こういったテクニックを知っていて実行できて、Windows Update でトラブったら %windir%\WindowsUpdate.log を見て、エラー原因をぐぐって調べる、とかは、できる奴の方が少ないだろ。> この構図、ぜひとも崩していただきたいですな。
「インターネットにつなげたら、Windows Update が完了する前に感染」という構図が崩れていないんですけどね・・・そっちは何とも思わないわけ？
Re:Windows を使わなければいい (スコア:3, 参考になる)
- 第3回 初期セットアップ時のセキュリティ保護を実現する「セットアップ後のセキュリティ更新 [atmarkit.co.jp]
- ファイアウォールの空白時間に注意 [atmarkit.co.jp] → "Windows XP Service Pack 2 セキュリティ強化機能搭載" での機能の変更点 [microsoft.com]の「起動時のセキュリティ」
もはや0から何かしなければならないという状態ではなくて、Microsoft が次に行おうとしていることに対して適切にフィードバックを行うべき段階です。例えば Windows Server 2003 のデフォルト設定は非常に厳しいもので、ごく一部の信頼済みサイト以外からはブラウザでファイルのダウンロードすらできないという設定で出荷されています。問題はこういったデフォルト設定を (建前上はまともな知識があるはずの) サーバ管理者だけではなく、おじいちゃんおばあちゃんにも適用しちゃうとどうなるかなわけで、Windows Vista で問われるのはそこでしょう。
Re:Windows を使わなければいい (スコア:1)
ま、そんな日は永遠に来ないだろうが。
ZZX
Re:Windows を使わなければいい (スコア:1, 参考になる)
とりあえずその話はおいておいて。
例えばこないだリリースされた PC-BSD 1.0 [pcbsd.org]でもアップデートツールが入ってて、
試してないけど定期的に検索して自動適用するようなオプションもあった。
手動で実行したときの様子は Windows Update のそれと同等か、ステップは少ないくらい。
(自分は WinUpdate の「カスタム」しか使わないのでそれとの比較)
元コメントのいう「保守」がパッチの適用を意味してるのなら、
それは「できるか否か」じゃなくて、老夫婦にも使える適用手段を開発者が
「作るか作らないか」の問題に過ぎないのだと思う。
ただ問題は、じゃあどんな適用手段なら老夫婦でも使えるかというと、
「パッチの自動検索」「自動ダウンロード」「自動インストール」
になってしまうだろうということだと思う。
そういうツールを作る事自体は簡単だろう。
でも開発者自身は、そういうツールを使いたいと思うだろうか。
自分自身が使いたいと思わないものを、作りたいと思うだろうか。
その辺が、問題の本質なのではないかと、思う。
Re:Windows を使わなければいい (スコア:1, すばらしい洞察)
>老夫婦が経営する店にはどちらの方が適してますか？
今時のデイストロなら変わらんでしょ。
アップデートがあれば「タスクトレイのような物」に通知が出て、
テキトーにクリックしてやれば全自動でアップデートされる。
Re:Windows を使わなければいい (スコア:2)
http://isc.sans.org/survivalhistory.php
Re:Windows を使わなければいい (スコア:1, 興味深い)
同ページのWindows XP: Surviving the First Day [sans.org]を見る限り、「WindowsXP SPなし」で当たりの様ですね。
良い勘してますな(笑)。
Re:Windows を使わなければいい (スコア:3, おもしろおかしい)
すみません、寝坊しました。
----------------------------------------
You can't always get what you want...
Re:Windows を使わなければいい (スコア:0)
「スコア-5」だ！
# え？そういうつもりのモデじゃない？
Re:Windows を使わなければいい (スコア:0)
Re:Windows を使わなければいい (スコア:1, すばらしい洞察)
8BitCPUのPC時代なら、それは別に珍しくなかったのに…