OHTS

CVE-2017-8759 | .NET Framework リモートコード実行の脆弱性

1. はじめに

Microsoft .NET Framework が信頼できない入力を処理するときに、リモートコード実行の脆弱性が存在します。.NET Framework を使用するソフトウェアでこの脆弱性を悪用することに成功した攻撃者は、影響を受けるシステムを制御できる可能性があります。攻撃者はその後、プログラムをインストールしたり、データを表示・変更・削除したり、完全なユーザー権限を持つ新しいアカウントを作成したりする可能性があります。システム上でより少ないユーザー権限を持つように構成されたアカウントのユーザーは、管理者ユーザー権限で操作するユーザーよりも影響が少ない可能性があります。

この脆弱性を悪用するには、攻撃者はまずユーザーに悪意のある文書またはアプリケーションを開かせる必要があります。このセキュリティ更新プログラムは、.NET が信頼できない入力を検証する方法を修正することにより、この脆弱性に対処します。Microsoft .NET Framework は、悪意のある文書またはアプリケーションを介して攻撃者がリモートでコードを実行できるようにします。.NET Framework リモートコード実行の脆弱性です。

2. 影響を受けるバージョン

Microsoft によると、影響を受ける製品は次のとおりです。 • Microsoft .NET Framework 2.0 SP2 • Microsoft .NET Framework 3.5 • Microsoft .NET Framework 3.5.1 • Microsoft .NET Framework 4.5.2 • Microsoft .NET Framework 4.6 • Microsoft .NET Framework 4.6.1 • Microsoft .NET Framework 4.6.2 • Microsoft .NET Framework 4.7

3. 攻撃プロセス

攻撃は次のように発生します。 • Python スクリプトを使用して、または手動で Rtf ファイルを作成します。 • ユーザーが文書を開くと、winword.exe は悪意のある HTA ファイルを取得するためにリモート サーバーに HTTP リクエストを送信します。 • サーバーから返された HTA ファイルには、悪意のあるスクリプトが埋め込まれています。 • exe は DLLobject を介して application/hta のファイル ハンドラーを参照し、Microsoft HTA アプリケーション (mshta.exe) が悪意のあるスクリプトを読み込んで実行する原因となります。

4. 要件

まず、2 台の仮想マシンが必要です。私は、攻撃環境として Kali Linux を、被害者として Windows7 を使用しています。

次に、この脆弱性についての考えを得るために、CVE-2017-8759 について少し調査する必要があります。

• https://github.com/bhdresh/CVE-2017-8759 • https://github.com/nccgroup/CVE-2017-8759 • https://securitytracker.com/id/1039324 • https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8759 • https://www.securityfocus.com/bid/100742 • https://www.exploit-db.com/exploits/42711 • https://www.cvedetails.com/cve/CVE-2017-8759/

私は上記の参考資料を使用して、この .NET Framework リモートコード実行の脆弱性についての詳細を入手しました。図 4.3 に示されているように、この脆弱性は CVSS スコア 9.3 であり、また、すべてのシステム ファイルが明らかになる完全な情報漏えい、システム整合性の完全な侵害、システム保護の完全な喪失があり、その結果、システム全体が侵害され、影響を受けるリソースが完全にシャットダウンされます。攻撃者はリソースを完全に利用不能にすることができます。アクセス条件はやや特殊です。悪用するにはいくつかの前提条件を満たす必要があります。この脆弱性を悪用するために認証は必要ありません。