CVE-2017-0199 修正

.hta ファイルの既定のハンドラーを変更することで、CVE-2017-0199 によるコード実行を無効化します。OLE2（COM オブジェクト）を介して呼び出されるファイルの既定のハンドラーは、ローカルシステムの既定のアプリケーションとは別にレジストリに保存されており、レジストリ経由でしか変更できません。

基本的なエクスプロイトのロジック

これはこのエクスプロイトの実際の一例であり、私が理解している範囲で説明しています。すべての事例がこのパターンに従うわけではなく、私の評価が誤っている可能性もあります。ただし、次のセクションで示す修正は、私がテストした状況では機能します。

1. Web サーバーでホストされている RTF 文書には、悪意のあるハイパーテキストアプリケーション（HTA）ペイロードが末尾に連結（cat）されている。
2. ホスティングサーバーは、そのファイルへの GET リクエストに対し、コンテンツが HTA ファイルであることを示すヘッダーで応答する。
3. Microsoft Word は OLE2 オブジェクトを実行して、Web サーバーから RTF 文書を取得する。
4. Microsoft Word は、拡張子 .rtf が HTA のコンテンツタイプと一致しないため、ファイルタイプの検証を強制される。
5. Microsoft Word はファイルの末尾から認識可能なデータ構造をチェックし、HTA データ構造を HTA コンテンツタイプに一致させる。
6. Microsoft Word はファイルタイプを自動修正し、HTA ファイル用の COM ハンドラー（mshta.exe）に渡す。
7. Mshta.exe はファイルの末尾にある悪意のあるハイパーテキストアプリケーションコードを実行する。

COM ハンドラーは、ファイルタイプ検証プロセスでのエラーを防ぐために、レジストリ内でシステムハンドラーとは別に保存されています。

基本的な修正

1. RegEdit.exe で HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3050f4d8-98B5-11CF-BB82-00AA00BDCE0B}\DefaultIcon に移動する
2. DefaultIcon の詳細なアクセス許可を開く
3. 所有者を Administrators（グループ）に変更する
4. 現在のユーザーアカウントをセキュリティプリンシパルの一覧に追加し、「フルコントロール」を割り当てる
5. (Default) キーを C:\Windows\System32\notepad.exe,1 に編集する
6. DefaultIcon の詳細なアクセス許可で自分のユーザーを削除し、所有者として SYSTEM を再割り当てする
7. HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID{3050f4d8-98B5-11CF-BB82-00AA00BDCE0B}\LocalServer32 について手順 1 から 6 を繰り返し、(Default) キーの値を C:\Windows\System32\notepad.exe に変更する

これにより、OLE2 を介して呼び出される .hta オブジェクトの既定のハンドラーがメモ帳に変更され、CVE-2017-0199 によるコード実行ができなくなります。これは、OLE2 が .hta ファイルを呼び出すすべてのインスタンスに適用されます。メモ帳が開きエラーが発生しますが、コードは実行されません。