スラッシュドット・ジャパン

>どうやって調べたんだ。

マイクロソフト セキュリティ アドバイザリ (912840) [microsoft.com]に書いてあります。元ネタはUpdate on Windows WMF 0-day [sans.org]でしょう。ちなみにここには

Windows XP will detect and process a WMF file based on its content ("magic bytes") and not rely on the extension alone, which means that a WMF sailing in disguise with a different extension might still be able to get you.

という注意もある。拡張子なんて幾らでも誤魔化せる模様。だからJPCERT 緊急報告の対策 [jpcert.or.jp]は、対策になるのかなって気もします。

自力で見つけたのなら、調べ方はたぶんこんな感じ。
Windowsの知識があれば誰でも調べられますよ。

今回の脆弱性は問題が「Windows Picture and Fax Viewer」にあるので、
その本体が実行されないようにすればとりあえずの対策にはなりそう。
↓
エクスプローラのプレビューで実行されるなら拡張子からたどれば見つかりそう。
↓
マイコンピュータ、ツール、フォルダオプションでWMFファイルの詳細設定で
ファイルを開くアプリケーションのパスを確認。
↓
C:\WINDOWS\System32\shimgvw.dllが怪しい。
↓
ファイルのプロパティーで説明が「Windows Picture and Fax Viewer」であるのを確認。
↓
本体がDLLファイルなのでregsvr32.exeを使ってシステムへの登録を解除。
↓
適当なWMFファイルを用意してプレビュー、ファイルオープン、IEで<img src=hoge.wmf>ができないことを確認。
↓
Webで公開されているデモが無効になっていることを確認。
↓
念のためセーフモードで起動してshimgvw.dllを空ファイルに置き換え。
↓
周りに伝えるためのメールの文章をまとめていたらSecurity Advisoryが出ているのに気が付いてへこむ。
気を取り直して日本語訳開始。
↓
日本語訳ができてきたらMicrosoft Japanに日本語のSecurity Advisoryが出ているのに気が付いてもっとへこむ。
↓
こんなのが一年の仕事納めか、とむなしくなる。

なにはともあれ、Windowsを扱うシステム管理者やプログラマなら
これくらいは自力で見つけられるようにしたいですね。

XP SP2+IE+Norton2005で電卓デモ試してみました。
ノートンはスルーしましたが、メタファイルをWindows 画像とFAXビューアーで開こうとした直後にDEPでアプリが止まりました。
Athlon64なので、ハードウェアでDEPサポートしてるせいかもしれませんけど。

ウイルスをインストールされた [x0.com]という経験を載せてくださった人がいます。ただし、この悪用サイトは現在は閉鎖された模様。

他に、 電卓が開くデモ [flagbind.jp]があります。ですから、何でもできるという事と、既にあちこちで悪用されているという事です。

攻撃コードもモロに公開されている [frsirt.com]し、Metasploit でもモジュールになっている [metasploit.com]ので、危険性は著しく高いと思います。

ちょうど今日エロサイトを見ていた時に，いきなり（wmfに関連づけしていた）Irfan Viewが起動するとともにZone Alarmが不正接続の警告メッセージ出してくれました．
何かwmfに偽装したウイルスに取り憑かれたのかと思ったのですが，この脆弱性を利用したコードがエロサイトに仕掛けられていたのですね．

マイクロソフトさんからセキュリティ アドバイザリ (912840) [microsoft.com]が出ました。
Microsoft Windows AntiSpyware (Beta) [microsoft.com]で対処できると書かれています。

# パッチが出るのは時間の問題ですが、その時間が問題です。