先日よりInternet Explorerのゼロデイ攻撃(CVE-2013-3893)がアジア各地で確認されており、Metasploitにも攻撃モジュールが組み込まれたことで危険性が高まっています。現在のところMetasploitで対象となっているのは、Office 2007/2010がインストールされているWindows 7のIE8/IE9だけですが、Windows XPを攻撃するのは簡単でOfficeなんかインストールされていなくても攻撃が可能ですので、XPを使っている方も油断してはいけません。
[Windows XPでIE8の脆弱性を悪用し電卓を起動したところ]
攻撃が簡単な理由は、Windows 7ではASLRといってメモリアドレスをランダムに配置する機能が備わっているのに対して、Windows XPではそのような機能が無いため攻撃に利用可能な場所がそこらじゅうにあるからです。
[Windows XPではASLRが有効ではない]
Windows 7ではASLRのおかげで攻撃に利用可能な場所はほとんどありません。
[Windows 7インストール直後のIEにはASLRが無効になっているDLLは無い]
しかし、「ほとんどありません」ということは、「少しはある」ということを意味します。例えば、Officeがインストールされている状態でms-help://にアクセスすると、次のように攻撃に利用可能なDLLがロードされます。
[Windows 7でIEにms-help://を読み込ませた際に、ASLRが無効になっているDLLリスト]
CVE-2013-3893で悪用された手口で、Windows 7を攻撃するのにOfficeがインストールされている必要があったのはこのDLLを強制的にロードさせて攻撃に利用するためです。この手口は2012年から報告され、実際に悪用されたこともあったのですが、残念ながらまだ修正されていません。ただ、これだけ毎回悪用されると修正されるのも時間の問題かと思います。
このようにWindows 7では脆弱性発見から攻撃成功にいたるまでは
2014年4月にはサポートも切れることですし、XPとのお別れの時期もいよいよ目前に迫ってきましたね。
[Windows XPでIE8の脆弱性を悪用し電卓を起動したところ]
攻撃が簡単な理由は、Windows 7ではASLRといってメモリアドレスをランダムに配置する機能が備わっているのに対して、Windows XPではそのような機能が無いため攻撃に利用可能な場所がそこらじゅうにあるからです。
[Windows XPではASLRが有効ではない]
Windows 7ではASLRのおかげで攻撃に利用可能な場所はほとんどありません。
[Windows 7インストール直後のIEにはASLRが無効になっているDLLは無い]
しかし、「ほとんどありません」ということは、「少しはある」ということを意味します。例えば、Officeがインストールされている状態でms-help://にアクセスすると、次のように攻撃に利用可能なDLLがロードされます。
[Windows 7でIEにms-help://を読み込ませた際に、ASLRが無効になっているDLLリスト]
CVE-2013-3893で悪用された手口で、Windows 7を攻撃するのにOfficeがインストールされている必要があったのはこのDLLを強制的にロードさせて攻撃に利用するためです。この手口は2012年から報告され、実際に悪用されたこともあったのですが、残念ながらまだ修正されていません。ただ、これだけ毎回悪用されると修正されるのも時間の問題かと思います。
このようにWindows 7では脆弱性発見から攻撃成功にいたるまでは
[脆弱性発見] -> [攻撃に利用可能な場所を調査] -> [攻撃成功]というステップを踏む必要があるのに対して、Windows XPでは
[脆弱性発見] -> [攻撃成功]というステップだけですので、攻撃を成功させるのが容易なわけです。
2014年4月にはサポートも切れることですし、XPとのお別れの時期もいよいよ目前に迫ってきましたね。
