Vista、XPなど、MBRがusermodeから修正可能な脆弱性 52
ストーリー by nabeshin
バイナリエディタでパーティション境界を探る旅 部門より
バイナリエディタでパーティション境界を探る旅 部門より
あるAnonymous Coward 曰く、
本家の記事となっているが、全てのWindows NTファミリー(Vistaを含む)には、 MBR(Master Boot Record)にはまだ usermodeから修正可能になる脆弱性があるということだ。 Vistaに関しては、Pagefile脆弱性の修正でuserlandコードからディスクセクターへのwriteアクセスが防がれたようだが、それでもディスクの最初のセクターはまだ無防備とのこと。
なんというか (スコア:5, 参考になる)
→ 「本家でも記事になっているが、全てのWindows NTファミリー(Vistaを含む)には、MBR(Master Boot Record)をusermodeから変更することができる脆弱性がある、ということだ。」
Re: (スコア:0)
私も「MBRに関するものなのにusermodeから直せるのかぁ。珍しい
きじゃく脆弱性だなぁ」とか思ってしまったことよ。管理者権限は必要っぽい (スコア:4, すばらしい洞察)
root が MBR を変更できるのを脆弱性というのなら、すべての OS がその脆弱性を持っていると思います。windows だけをやり玉にあげるのは誤りでしょう。
ではなぜ今回 windows が話題になっているかというと、MBR書き換えによって身を隠す rootkit が windows で発見されたからです。rootkit の発見には触れず、「脆弱性」の存在が問題であるかのような記事は、誤解の原因であり不適切と考えます。
管理者権限で動かす人が問題なのでは? (スコア:3, 興味深い)
>by figleaf (672550) on Monday January 07, @10:18PM (#21949620) Homepage
>... to write to the MBR.
>For all other sectors Vista prevents writes to raw disk sectors even with admin permissions.
>Users withouts admin permissions/without elevation cannot write to the MBR in Vista.
ということなので,これは grub をインストールするときには root になる必要があるよ,
というのと同じことではないのでしょうか?いまだに何が問題なのかわからないので,
誰か教えてください.管理者権限で動かしている人が問題というのであれば,
それはOSの脆弱性じゃなくて利用者のセキュリティ意識の不足だと思うのですが.
屍体メモ [windy.cx]
ウィルスがOSをインストールすることが可能? (スコア:1)
再起動後、ウィルスが植え付けたOSしか起動しないとか、ウィルスが植え付けたOSの上で本来のWindowsを仮想化して実行、その影でウィルスOSが好き勝手し放題というようなことができるということですよね。
これって、利用できるかどうかは別にして、原理的にはかなり、やばいセキュリティホールだと思います。
Re: (スコア:0)
>ウィルスが植え付けたOSの上で本来のWindowsを仮想化して実行、その影でウィルスOSが好き勝手し放題
一般ユーザが普通にアプリケーションを利用しているだけで、貴方の考えている状態が起きうるのではと思います。
Re:ウィルスがOSをインストールすることが可能? (スコア:1)
文意からすると、通常のウィルスとリスクは同じ程度とみなしていると思うのですが、私は今回の脆弱性のほうが、よりリスクは高いと思います
なぜなら、ユーザーが利用しているOS上で動いているウィルスなら、パターンファイルが提供されれば通常のアンチウィルスで発見・駆除可能だと思いますが、ユーザーが知らないうちに本来使用したいOSの下に、別のOS(というかプログラム実行環境)を作成して攻撃者が勝手にプログラムを動かせる場合、ユーザーからは手のうちようがないだけ危険度は高くなると思います。
Re:ウィルスがOSをインストールすることが可能? (スコア:1)
Windowsの代わりにLinuxが起動したよ! とかならすぐに感染したと判りますが、 最近のリング-1 [wikipedia.org]をサポートするプロセッサでVMモニタでも動かされて潜伏された日にはユーザもセキュリティツールも乗っ取られている事を認識できないのではないでしょうか。
(なんだかCPU時間が消えているような気がするとか?)
Re: (スコア:0)
Re:ウィルスがOSをインストールすることが可能? (スコア:2, 興味深い)
# 他の人はその人が作ったツールを変更してばらまくだけでいいから
Re: (スコア:0)
作れてかつ売って儲けようと考える人が1人でもいたら大アウト。
そういう人が世の中に1人以上いる可能性はそんなに低く無いと思う。
Re: (スコア:0)
Re: (スコア:0)
INPUTーOUTPUT全て一回自分のOS(ここでは悪意のウィルス)経由してVM上のOS(ユーザーが元々使っていたOS)
を経由してデータ流れるわけですから。
セキュリティツールも"乗っ取られる"と言うと語弊があるんじゃないかと。
"感知できない"訳です。セキュリティツールは仮想化されたところで動いてるので、実体側を検査できない。
Re: (スコア:0)
OSの外からの監視じゃ、OSの内部で処理され最終的に物理層に流れるデータをかすめ取るだけだから、
やっぱり大したことはできんよ。
Windowsの外からWindowsの内部の出来事を観察することはそれほど簡単じゃないぜ?
Re: (スコア:0)
>物理層に流れるデータをかすめ取る
それで十分と思うが。
あのな?仮想化したハードウェアにキーボード入力するときも、物理キーボードーホストOS-仮想化ハードーゲストOS
の経路通るんだが?(ソフトウェアキーボード使用時は別として)
だから>通信(ネット)だけでなく、"ディスクアクセスや入出力すべて監視できますよ"。と書いてる。
当然、ホストOS側で監視できる。
出力も同じ、ディスプレイ上に出ている以上、ゲストOS->ゲストOS上の仮想グラボ->ホストOS->実ディスプレイ
当然、監視できる。(こっちはかなり難しいが)
Re: (スコア:0)
Re: (スコア:0)
ん〜、一般ユーザでも使えるマイクロソフトなんてもうおさらば。 [goodbye-microsoft.com]が登場する可能性もあるとか、そういう話?
Re: (スコア:0)
Windows上の仮想環境にdebian入れて両方一緒に使ってるけど、こんなんでホスト環境壊されたら仕事にならん。自分のやり方を強要するこのヘイト振りにぞっとしたわ。
#試しに踏んでみたらえらくビビった
Re: (スコア:0)
どこに?
たいていのPCのHDDには、空きパーティションなんてないでしょう。
まあ、データ用のHDDやパーティションがあれば、そこをつぶすこともできるでしょうが、
そんなことをするより現在動いているOSのファイルをこっそり入れ替えるほうがバレにくいでしょう。
>再起動後、ウィルスが植え付けたOSしか起動しないとか、ウィルスが植え付けたOSの上で本来のWindowsを仮想化して実行、その影でウィルスOSが好き勝手し放題というようなことができるということですよね。
まったくありえないとはいわないけど、好き勝手したいならそんなしち面倒くさい方法をとらなくても
もっとお手軽で効率のよい方法があるでしょう。
MBRを悪用するにせよ、他の方法にせよ。
わざわざ困難な例をあげるとかえって説得力をなくすように思います。
Re:ウィルスがOSをインストールすることが可能? (スコア:1)
既存のパーテーションの容量を勝手にいじって、新しいパーテーションを
作ることくらいはできそうですけどね。
Windows上で動作するパーテーション操作ソフトあるでしょ?
Re:ウィルスがOSをインストールすることが可能? (スコア:1)
そもそも Vista 自体、パーティションを「圧縮」(実際は単なる縮小) する機能を持っていますので……。
ただ、当然管理者権限が必要となる操作であるため今回の穴のみでは難しく、なんとかして昇格する手段が必要でしょうね。
Re: (スコア:0)
MBR は OS や OS 上のアンチウイルスソフトの干渉を受けることなく、そのファイルを起動することができる。
Re:ウィルスがOSをインストールすることが可能? (スコア:1)
OS の起動ステップにうまく割り込むことができないと、MBR 程度の小さな領域に入るプログラムから NTFS 上にあるファイルを適切に読みだすのは非常に困難では? 特に暗号化されていたりすると最悪。
NTFS でフォーマットされたパーティション上に存在する「任意の位置にあるデータを読み出して実行する」のはファイル単位とは言い難いですし。
ファイルを作って書き込み→その位置を MBR に含めて書き込み、といった程度でしょうかねぇ。
ただ、小さすぎると単一ファイルブロックを獲得できないし、大きすぎるとフラグメントされる可能性があるという面倒さはありますが。あと、ファイル単位にすると再起動までに再配置 (デフラグ) される可能性もあります。
# 環境を破壊せずに潜伏するには、ユーザ権限のみだとちょっと面倒すぎるかな。
Re:ウィルスがOSをインストールすることが可能? (スコア:1)
ブートセレクタソフトがどうやってブートレコード書き換えたり、OS切り替えてるか知ってる?
MBRの書き換えにもOSの追加にも空きパーティションなんか必要ないんですよ。(対応してるファイル形式が同じなら)
Re: (スコア:0)
1パーティションしかなくて、そこにWindowsが入っていて、
それをWindows上から悪意をもっていじくるのを
「OSのインストール」といいますかねえ。
また、それをするのにMBRを乗っ取る必要がありますかねえ。
Re: (スコア:0)
oyajismel たんのコメントは
「1パーティションしかなくて、そこにWindowsが入っていて」も,MBR は書き換えられるし,
MBR 書き換えられたら本来の Windows とは別の OS をディスク上の任意の位置から読み込んで
起動することもできる,ということですよね.
# 「対応してるファイル形式が同じなら」ってのが分からんのだけど.
「Windows上から」とか「それをするのにMBRを乗っ取る必要があ」るとかはどこから来たので
しょう?さりげなく必要条件と十分条件を入れ替えてませんか?
Re:ウィルスがOSをインストールすることが可能? (スコア:1)
ウィルスの性格上、見た目上変わらなくするため、
WINDOWSを残す事を想定してました。そのためにファイル形式を変えない。
(つまりデュアルブートと似た状態にする事を想定)
>暗号化ファイルシステムとか使ってるとダメじゃんってのに、
予防線をはったんじゃね?
うっそこまで考えて中田。
でも、自分が書き込むときと読み出すときは暗号化とおさなけりゃ良いような。(直接HDDたたいて)
別OSについては#1277824氏
>MBR 書き換えられたら本来の Windows とは別の OS をディスク上の任意の位置から読み込んで
起動することもできる
の通りですね。
Re: (スコア:0)
推測だけど oyajismel たんは、
暗号化ファイルシステムとか使ってるとダメじゃんってのに、
予防線をはったんじゃね?
> さりげなく必要条件と十分条件を入れ替えてませんか?
推測だけど、単純にわかってないだけじゃね?
Re: (スコア:0)
大抵の(大手メーカーによる)PCは、(普通意識しないが)リカバリイメージを格納している隠しパーティションがあるぞ。
デフォでユーザ使用可能なパーティションを切ってるのはNECぐらいだろうけど。
Re: (スコア:0)
MBRとれたらおいしいのは今時SuperViserなるものがあるから。
既存のOSをこれ経由で動かしたらそれこそ何でもされるわけで。
それをrootkitと呼ぶか別OSと呼ぶかは大した違いじゃない。
ぐばば? (スコア:0)
Vista については… (スコア:0)
ただ UAC が正しく動いているなら管理者権限で当該インストーラを起動する必要があるわけで。
# 正しく動いてない? そんなの知ったこっちゃな(ry
脆弱性? (スコア:0)
どうせFDかUSB接続のフラッシュメモリかなんかで起動すりゃなんだってできるのに。
リモート接続で使わせてるユーザが、とかそういうレアケースの話をしてるの?
Re: (スコア:0)
Re: (スコア:0)
Re:脆弱性? (スコア:1, すばらしい洞察)
Re: (スコア:0)
正気とは思えないです。
壺でもこんなことマジで言う人いないんじゃない?
Re:脆弱性? (スコア:1, 興味深い)
ってことでは。
Re:脆弱性? (スコア:1)
って?
Re:脆弱性? (スコア:1, 興味深い)
# 古き良きDOS時代から、MBR書き換えウィルスとか、BIOS破壊ウィルスなんて結構あったでしょ?
# それに対する答えが、BIOSのブートプロテクションとか、Anti-Virusソフトの、メディアのブートセクタ監視じゃないの?
# 正直言って、何を今更? って感じなんですけど
# 大体ブートセクタなんてそう書き換える物でもないから、OSインスト後はBIOSから即ブートプロテクションするでしょ常考
# つか、こんな事で鬼の首を取ったように騒いでいる奴らってどんなゆとり?
Re: (スコア:0)
そんなこと一般ユーザが設定するわけないでしょうが。
BIOS設定画面を起動したことのあるユーザすら極少数だろうし。
本気でこんなことを言っているのだとしたら、それこそ常識を疑います。
# 大体、「ブートプロテクション」じゃなく「ブートセクタプロテクション」でしょう。
# 「ブートプロテクション」って言葉は起動時認証の文脈で使われる別の意味になっちゃう。
Re: (スコア:0)
今回の脆弱性に対してBIOSのブートセクタプロテクションはクソの役にも立たないのでは?
Re: (スコア:0)
それが重要ではないというのは、他の脅威が多いので今回の脆弱性は誤差の範囲ということでしょうか?
Windowsらしいといえばそれまでだけど。
Re: (スコア:0)
使ってる人が少ないから標的になりにくいだけで。
Re: (スコア:0)
致命的なのは情報漏洩や掲示板への犯罪予告書き込み(+ウイルス本体の自動消去)だとかの類で、
これらにやられると多額の損害賠償を請求されたり、逮捕されて前科持ちになったり、社会的に抹殺されたりで目も当てられん。
BIOS設定で (スコア:0)
でおk?
…と思って再起動かけたら、今使っているやつにはなかった _no
Re:フレームのもと(-1)・・・だけど (スコア:3, 参考になる)
MBRが狙われると、OS上のあらゆるセキュリティ対応機能が
立ち上がる前を付かれると言うことです。
古いパソコンのウィルス等もセクタ0は狙う場所として
基本的なところだったと思いますし。
正直、かなりやばい脆弱性だと思うのです・・・
(ストーリー立てて注意喚起してもいいくらいにね)
Re: (スコア:0)
Re:フレームのもと(-1)・・・だけど (スコア:2, 参考になる)
現在の高機能ブートローダはおおよそ次の手順でブートを行います.
今回の脆弱性は, 先頭のローダの種類によらない段階について手を加えるので, 特にローダの種類を考慮する必要はありません.
また, 前述のブート手順の段階ではMS-DOSなどと同じくリソース制限は行っていませんので, MBRを変更することも原理的には可能です. FreeBSDのloaderなんかではloaderコマンドとして任意のportを操作するようなこともできるので, 頑張れば動的にMBRを変更することもできるかもしれません.
とは言え今回問題になっているのは, こうしたブート段階ではなく, OSカーネルが立ち上がってからのことですから話は別です. 管理者権限以外から操作できるってのは論外ですが, 本当はシステムの整合性に影響する生きているディスクに対する直接アクセス全体を何らかの形で制限するべきなんでしょうね.
Re: (スコア:0)