つい先日、ジャーナリストのJohn Leydenが我々に連絡を寄せ、Tom Forbesによる脆弱性の調査について我々の意見を求めてきた。Forbesの調査は、デルの「System Detect」ユーティリティがリモートコードの実行を許してしまう欠陥に焦点を合わせたものだ。同氏は昨年11月に調査結果を発表しており、デルは1月に(先週にも再び)この問題を改善した。

 しかしながら当社の見立てでは、重要な問題が残っている。

 このソフトウェアの以前のバージョンでは自己更新を行わないため、多数の脆弱なコンピュータが世の中に残存したままなのだ。時間と共に、当社の顧客達がさまざまなバージョンのSystem Detectを何十万回もスキャンしてきている。非常に普及しているソフトウェアなのだ。ここ2週間の当社の顧客を基にした統計だけでも、おおよそ10万人の顧客がSystem Detectについてレピュテーションチェックの問い合わせを行っていることが見て取れる。現在のところ、最新版を実行しているのは当社の顧客の約1%だけだ(バージョン6.0.14。以下のグラフの赤で示される部分)。

Dell System Detect, F-Secure customer install-base

 System Detectの古いバージョンでは、サービスを自動的に開始する実行キーをレジストリに作成する。つまり、デルのサポートサイトを訪れるとき以外は不要なソフトウェアなのに、継続的に脆弱なバージョンが動作し続けていることになる。なお、最新版の6.0.14では実行キーを作成しない。

 以前のバージョンのSystem Detectを侵害するのは、非常に容易だ。必要なのは、「dell」という文字列を含むドメイン名のURLにターゲットが訪れることだけだ。それがURLのどの部分になるかの正確なところは、ソフトウェアのバージョンによって異なる。

 我々はForbeの調査結果と、System Detectの3つのバージョンを実行した当社自身のブラックボックステストの結果を用いて、ネットワークトラフィックを観察し、また同じトラフィックを少し変更して再生した。そして、古いバージョンのSystem Detectを使って、標的のマシンでcalc.exeを起動できることを確認した(つまり、リモートコード実行だ)。

Dell System Detect 5.4.0.4

 バージョン5.4.0.4については、refererフィールドのURLのドメイン部分に「dell.com」が含まれていなければならないが、「www.notreallydell.com」も許容するので、脆弱性のレベルが非常に高い。

notreallydell.com

 バージョン6.0.9は、Forbesがデルに問題を報告した後にリリースされた。このバージョンでは、ドメインに「.dell.」が含まれる必要がある。これもまた「a.dell.fakesite.ownedbythebadguys.com」を受け入れるので、Webベースの攻撃に対しては同じレベルで脆弱である。

 現行のバージョンの6.0.14ではドメインが「*.dell.com」であることが求められる。これにより、特に自動起動の回避と組み合わせれば、問題にだいたい対処していることになる。インストールしなければならないバージョンがあるとすれば、これがそうだ。

 もちろん古いバージョンは可能な限り迅速にアンインストールすべきだ。

support.dell.com

 HTTPSが有効なダウンロード用のリンクは、ここである。

 当社では、顧客を保護するために必要になるであろう、さらなる問題点や活動を調査し続けていく。