CVE-2016-4117-Report

脆弱性の基本的な説明と、その悪用方法。

Adobe Flash Player 21.0.0.226 およびそれ以前のバージョン（Windows、Macintosh、Linux、Chrome OS 向け）には、重大な脆弱性（CVE-2016-4117）が存在します。悪用に成功すると、クラッシュが発生し、攻撃者が影響を受けるシステムを制御できる可能性があります [2]。 誰かから MS Office 文書が添付されたメールを受信した、または DDNS サーバー上にホストされている MS Office 文書をダウンロードしたとします。この MS Office 文書が、この脆弱性を悪用しようとする攻撃者によって特別に作成されたものである場合、以下のような動作が発生する可能性があります。

1. Flash Player 21.0.0.226 以前（ただし 21.0.0.196 以降）が動作するシステム上で MS Office 文書を開く [6]
2. 文書内の Flash ベースのコンテンツが表示され、エクスプロイトがトリガーされる
3. コンピューターが攻撃者のサーバーに接続し、悪意のあるペイロードをダウンロードする
4. デコイ文書が表示され、悪意のあるものと気付かない可能性があるが、システムは侵害され、Command and Control（C&C）サーバーからの指示を待つボットネットの一部となっている可能性がある [詳細についてはテクニカル詳細セクションを参照]

影響を受けるシステムは？

Adobe Flash Player 21.0.0.226 以前を実行しているすべての Windows、Macintosh、Linux、Chrome OS プラットフォームが、CVE-2016-4117 脆弱性の影響を受けます。

脆弱性を緩和するために何ができますか？

Adobe は 2016 年 5 月 12 日に CVE-2016-4117 に対処し、セキュリティ情報 [2] に記載された手順に従って製品インストールを最新バージョンに更新するようユーザーに推奨しました。さらに、システムで必要でない場合は Adobe Flash Player の使用を避けることもできます。

エクスプロイトコードは利用可能ですか？

はい。CVE-2016-4117 用の Metasploit モジュールはありませんが、以下の手順を実行して、メモリ上の任意の読み書きを 行うことができます。

1. 攻撃者は、com.adobe.tvsdk.mediacore.timeline.operations.DeleteRangeTimelineOperation 内の内部インターフェース名と競合する「placement」のようなプロパティ名を定義します。
2. 次に、「placement」インターフェースを呼び出すと、ActionScript VM が内部関数 getBinding を呼び出して bind id を取得します。
3. 「placement」プロパティがインターフェース名と競合しているため、攻撃者は bind id を操作して競合を引き起こすことができます。
4. メモリを制御するためのシェルコードを導入するために、エクスプロイトは識別可能な値で ByteArray を拡張するオブジェクトを定義します。この識別可能な値により、エクスプロイトはメモリ内のオブジェクトを簡単に特定できます。
5. 「placement」プロパティは bind id を操作して範囲外読み取りを行い、シェルコードを含む拡張 ByteArray を指すことができます。
6. ByteArray 内のシェルコードが実行されるため、攻撃者はオブジェクトの 1 つを破壊して、その長さを 0xffffffff（high memory）に拡張し、データバッファをアドレス 0 にすることができます。つまり、そのオブジェクトはメモリ（RAM）のすべての内容を読み書きできます。
7. 例として、システムが Web サーバーの場合、メモリ内に保存された秘密鍵の値をエクスプロイトで読み取り、Web サーバーの識別情報を侵害する可能性があります [3]

エクスプロイト活動は脆弱なシステムにどのような影響を与える可能性がありますか？

基盤となるシステムが、Adobe Flash Player 21.0.0.226 以前（ただし 21.0.0.196 以降）を実行している Ubuntu ベースの Web サーバーであると仮定します。 前のセクションで説明したように、エクスプロイトが成功すると、攻撃者はメモリの内容を読み書きできます。システム侵害にはさまざまな種類が考えられます。考えられる侵害の一部を以下に示します。

1. 攻撃者がメモリのすべての内容を取得し、C&C サーバーに送信する
2. 攻撃者がメモリをフラッシュし、一部のサービスの中断やプログラムのクラッシュを引き起こす
3. 攻撃者がバックドアをインストールし、侵害されたホストに将来アクセスできるようにする
4. 攻撃者が秘密鍵やパスワードなどの機密情報を抽出する（一部のケースで可能）
5. 攻撃者が strace またはデバッガユーティリティを実行して実行中プロセスにアタッチし、可能なシステムコール/変数を見つけて、システムコール/変数の値を変更する
6. 攻撃者がシステムの完全な制御を取得し、システムを完全に破壊する

参考文献

1. http://www.cvedetails.com/cve/CVE-2016-4117/
2. https://helpx.adobe.com/security/products/flash-player/apsa16-02.html
3. https://www.fireeye.com/blog/threat-research/2016/05/cve-2016-4117-flash-zero-day.html
4. https://www.proofpoint.com/us/threat-insight/post/microsoft-word-intruder-8-adds-support- for-flash-vulnerability
5. http://malware.dontneedcoffee.com/2016/05/cve-2016-4117-flash-up-to-2100213-and.html
6. http://blog.morphisec.com/flash-vulnerability-cve-2016-4117