ActiveX 0-day attack!!

2月にはいってActiveX関連の脆弱性や攻撃についての情報をあちこちで見かけるので、状況を簡単にまとめておく。

脆弱性

Elazar Broadというセキュリティ研究者が、1/31と2/3にFull-Disclosure MLで脆弱性情報を公開したのがどうも発端らしい。

• Full Disclosure: MySpace Uploader ActiveX Control Buffer Overflow
• Full Disclosure: FaceBook/Aurigma Image/PhotoUploader Buffer Overflow
• Full Disclosure: Yahoo! JukeBox MediaGrid ActiveX Control AddBitmap() Buffer Overflow

対象となっているのは、MySpace, Facebook, Yahoo!などで画像のアップロードに利用されている ActiveXコントロール。これらにバッファオーバーフロー脆弱性があるらしい。SymantecはThreatConのページで注意を呼びかけている。

(関連情報)

• Six ActiveX Vulnerabilities This Week
• Security Advisory SA28757 - Yahoo! Music Jukebox ActiveX Control Buffer Overflows - Secunia
• Security Advisory SA28715 - MySpace Uploader Control ActiveX Control Property Handling Buffer Overflow - Secunia
• Security Advisory SA28713 - Facebook Photo Uploader ActiveX Control Property Handling Buffer Overflow - Secunia
• Security Advisory SA28707 - Aurigma Image Uploader ActiveX Control Property Handling Buffer Overflow - Secunia

攻撃

2/4に早くも Yahoo! Music Jukeboxの ActiveXコントロールに対するエクスプロイトが公開された。

• http://milw0rm.com/exploits/5043
• http://milw0rm.com/exploits/5051
• http://milw0rm.com/exploits/5052

またセキュリティベンダによるとすでにこの攻撃は監視システムでも検知されている。

• http://www.symantec.com/enterprise/security_response/weblog/2008/02/that_didnt_take_long_unpatched.html
• http://www.symantec.com/enterprise/security_response/weblog/2008/02/myspace_uploader_exploited_in.html
• McAfee Threat Center – Latest Cyberthreats | McAfee

対策

すでにベンダで対応しているものもあるので、その場合は最新のバージョンにアップデートする。未対応の場合の Workaroundとしては、対象の ActiveXコントロールのKill Bitを設定することで、動作を停止させることができる。Kill Bitについてはマイクロソフトのサポートページに説明がある。

Kill Bitはレジストリで設定するのだが、対象となる ActiveXコントロールのCLSIDを特定する必要があって面倒なので、SANSが提供している設定ツールを利用すると便利。

• GUI Killbit App Available (UPDATE: CLI version too!)

実行するとこんな感じ。簡単にKill Bitを設定できる。