時間、エネルギー、正気、理解を節約するための包括的な調査です。まず最初に、この特定のCVEは、その高い深刻度スコアのために短期間で非常に多くの注目を集めた点で、多くのCVEと同様であることを述べておきます。その結果、多くの虚偽の情報や悪意のある活動がこの脆弱性を取り巻いています。この脆弱性を発見した最初の研究者は Wei です。
これには、正規のPoCのように見せかけてGitHubに投稿されたマルウェアベースのPoCも含まれますが、これに限定されません。
そのため、このリポジトリでは、研究と理解をさらに深めるために、有効で誤解を招かないPoCのみを共有します。
名前が示すように、この脆弱性はWindowsにのみ影響します。そのため、別のOSを使用している場合は、この脆弱性は直接関係ありません。
また、この脆弱性からシステムを保護したい方のために、緩和策も共有します。
Issue Description:
This is a zero-click, wormable vulnerability in the IPv6 TCP/IP stack of Microsoft Windows enables attackers to remotely execute arbitrary code on affected systems without any user interaction.
Asset Description:
The issue impacts Microsoft Windows versions that support IPv6. It is particularly risky for internet-facing Windows servers and user devices with IPv6 enabled.
Vulnerability Impact:
If successfully exploited, this vulnerability could allow attackers to remotely execute arbitrary code, which might result in a full system compromise, unauthorized data access, and/or exposure of sensitive information.
Exploitation Details:
The flaw is located in the IPv6 TCP/IP component of the Windows networking stack. Attackers can exploit this vulnerability by sending specially crafted IPv6 packets to a target machine, enabling RCE without user interaction.
Patch Availability:
Microsoft has issued a security update for this vulnerability as part of the August 2024 Patch Tuesday.
It is crucial for organizations to apply this update promptly to mitigate risks.
If immediate patching isn’t feasible, disabling IPv6 on affected Windows systems can help reduce the attack surface until the patch is applied.
ファイアウォールレベルでのみIPv6を無効にしても、この脆弱性の防止にはまったく効果がありません。
この脆弱性の再現を試みるのは、最初は少し面倒かもしれません。そして、この脆弱性はMicrosoft WindowsのIPv6 TCP/IPスタックにおけるゼロクリック脆弱性であると言っても過言ではありません。Windows 10、11、およびWindows Serverの多くのバージョンに影響します。
このRCE脆弱性は、シェルコードを実行できるようにするものではなく、整数アンダーフローをトリガーしてリモートメモリ破損を引き起こします。これにより、脆弱なデバイス上のサービスが効果的に妨害されます。オンラインで提示されている真のPoC（例：Marcus Hutchins（@MalwareTech）や ynwarcs によるもの）は、今後数週間から数ヶ月のうちに、これが一種のサービス拒否（DoS）脆弱性として悪用される可能性があることを示唆しています。
ただし、上記のPoCには1つの欠点があります。目的の結果を得るために、PoCが行うほど多くのパケットをスパム送信する必要はないということです。目的の結果を得るためにわずか2パケットだけ使用することを提案する人もいますが、その実装は常に信頼できるわけではありません。パッチが適用されていない実機のWindowsマシンを使った私のテストでは、60秒のウィンドウ内で、常に期待する結果を得るためには最低でも約25パケットが必要です。それでも、元の設計よりは大幅に少なく、改善点と言えるでしょう。それでもメモリ空間を指数関数的に増加させて結合させ、カーネル内でメモリ破損を引き起こし、エンドユーザーはブルースクリーンを目にすることになります。
何らかの理由で最新のパッチをシステムに適用できない場合は、次善の策として、すべてのネットワークインターフェースでIPv6を無効にすることで、このエクスプロイトの攻撃対象領域を大幅に制限できます。ただし、これを長期的な解決策として使用しないでください。システムの機能を損なう可能性があります。
このPowerShellスクリプトを管理者として実行し、script.ps1として保存する必要があります：
# Check if the script is running with admin privileges
If (-NOT ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole] "Administrator")) {
# Restart script with admin privileges
$arguments = "& '" + $myInvocation.MyCommand.Definition + "'"
Start-Process powershell.exe -ArgumentList $arguments -Verb RunAs
Exit
}
# Disable IPv6 on all network interfaces
Get-NetAdapterBinding -ComponentID ms_tcpip6 | Where-Object {$_.Enabled -eq $true} | ForEach-Object {
Disable-NetAdapterBinding -Name $_.Name -ComponentID ms_tcpip6
}
# Optional: Confirm that IPv6 has been disabled
Write-Host "IPv6 has been disabled on all network interfaces."
今後数週間、このGitHubリポジトリをさらに研究、更新、およびその他の有効な緩和オプションで更新していきます。