MSI アナライザー

この Linux 用 Python スクリプトは、Microsoft Windows の *.msi インストーラファイルを解析し、潜在的な脆弱性を指摘することができます。SEC Consult Vulnerability Lab で Michael Baer（@derbaer0）によって開発されました。

現在、これは主にローカル権限昇格に適しており、これについては弊社のブログ記事 https://r.sec-consult.com/msi でも説明しています。

Microsoft はこの脆弱性に対して CVE-2024-38014 を割り当て、2024年9月のパッチデーに修正プログラムも提供しました: https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-38014

このスクリプトは、インストーラの概要を把握し、潜在的な弱点を特定するためにも使用できます。

留意事項

• このスクリプトは開発途中です。
• 完全ではありませんが、多くのインストーラを正しくカバーできることを願っています。誤った判定に遭遇した場合は、GitHub の issue を作成してください。
  • 偽陰性（false-negatives）（コンソールアプリケーションがインストーラから間接的にしか起動されない場合）
  • "偽陽性（false-positives）"（同じアクションが条件付きで実行される場合。スクリプトは条件を表示しますが、評価はしません）
• このスクリプトは、悪意のあるインストーラに対して保護されていません。

インストール

いくつかの Python パッケージが必要です。sqlite3、termcolor、さらに必要なものがあるかもしれません。それ以外はインストールの必要はありません。メインフォルダからスクリプトを実行するだけです。

msitools（apt）パッケージをインストールしてください。同様に必要な msiinfo と msiextract が含まれています。

sudo apt install msitools

脆弱性の悪用に役立つ SetOpLock バイナリは、次の場所にあります: https://github.com/googleprojectzero/symboliclink-testing-tools/tree/main/SetOpLock

使用方法

• python msiscan.py <Installer>
• または、ディレクトリ全体を確認したい場合: ./runall.sh <directory>

次に、結果をスキャンして、すぐに成果が得られる珍しい色（赤）を探してください。アドバイス: 赤いものがある場合は、ProcMon で修復し、手動でのアプローチを行ってください。

エラーが発生することもあります。無視してください。解析は可能な限り続行しようとします。

先頭に赤い行 Repairmode disabled ... が表示される場合、修復機能をトリガーすることはできません。

より深い分析に時間を費やしたい場合に備えて、出力を理解するための説明をいくつか示します:

• レーティング 悪用される可能性がどの程度あるかについての私の推測。これが色も定義します。
• 難易度 脆弱性を見つけるためにどれだけの労力が必要かについての私の推測。例: HARD = バイナリリバーシング。
• 緑色の行 "Action only invoked upon": このアクションは条件が true の場合にのみ呼び出されます。例: "Not Installed" はソフトウェアがまだインストールされていない場合にのみ実行されます = インストール中は実行されますが、修復中は実行されません。インストールを強制的に実行できない限り、運はありません。（注: これらの条件が現実と一致しないように感じることがあります。しかし、私はまだこれを解明できていません）。
• オレンジ色: スクリプトコードがあります。時間があれば、怪しいアクションを探してください。またはバイナリの呼び出し（CreateObject ("WScript.Shell")）。
• 青色: WiX ツールセットのメソッド。おそらく安全です（ただし、区別してさらに調査する必要があります）。
• シアン色: 最も一般的な色です。通常は GUI プログラムまたは DLL 関数を呼び出します。ここでは簡単な成果は期待できません。

次は何か？

インストーラパッケージから抽出できる情報はまだまだたくさんあると信じています。例えば、インストールされるフォルダやサービスの権限から、さらに多くの LPE ベクトルをすぐに特定できるかもしれません。