1708117602
2024-02-16 20:52:53
Microsoft は今月、実際に悪用された 2 つのゼロデイ欠陥を含む 73 件の脆弱性をカバーする月例セキュリティ更新プログラムをリリースしました。 組織はすべての重要でリスクの高い問題に優先順位を付ける必要がありますが、Outlook には重大な脆弱性が 1 つあり、リモートでコードが実行される軽微な攻撃への扉を開く可能性があると研究者が主張しています。
モニカーリンクと呼ばれる セキュリティ企業 Check Point Software Technologies の研究者がこの脆弱性を発見したところ、攻撃者はこの脆弱性を利用して、 Office の保護されたビュー このモードは、インターネットからダウンロードされたファイルをデフォルトで読み取り専用モードで開き、内部の潜在的に悪意のあるスクリプトが実行されるのを防ぎます。
電子メールの添付ファイルとリンクは、マルウェアを配布する最も一般的なベクトルであり、長年にわたって使用されてきました。 保護ビューのようなメカニズムにより、攻撃者が Microsoft Word、Excel、PowerPoint、およびその他の Office コンポーネントの既存の脆弱性を悪用することがより困難になります。
「攻撃者が、保護されたビューなしで動作する Microsoft Word のエクスプロイトを持っていると仮定しましょう (これが最も一般的なケースであるため)」と Check Point の研究者は説明しました。 「エクスプロイトが添付ファイルとして送信される場合、攻撃者は被害者に添付ファイルを 1 回ダブルクリックする必要があります。 ただし、外部の電子メール アドレスから送信された添付ファイルによって Word の保護されたビューがアクティブになり、保護されたビューがアクティブになっているときはエクスプロイトが機能しないため、攻撃者のエクスプロイトはブロックされるため、これは合計ではありません。」
「つまり、攻撃者は被害者をだまして、もう一度シングルクリックを実行させてWordの保護されたビューモードを終了させ、エクスプロイトを実行できるようにする必要がある」と研究者らは述べた。 「つまり、攻撃チェーン全体では、合計で 1 回のダブルクリックと 1 回のシングルクリックということになります。」
モニカーリンクを使用すると、 Microsoft によって CVE-2024-21413 として追跡されるこの脆弱性は、ユーザーが電子メール メッセージ内のリンクをクリックしたときに Outlook が外部アプリケーションを呼び出す方法に存在するためです。 さらに、この欠陥は、Word 以外の他のアプリケーションにワンクリック悪用を配布する手段として機能する可能性があります。
Outlook の動作は、リンクの種類によって異なります。 たとえば、http:// または https:// で始まるリンクの場合、電子メール クライアントはオペレーティング システムにインストールされているデフォルトのブラウザにリンクを送信します。 ただし、電子メールに他のプロトコル ハンドラー (skype: など) へのリンクが含まれている場合、電子メール クライアントは、ユーザーが続行してリクエストをローカルにインストールされている Skype アプリケーションに転送することを許可する前に、リンクが安全でない可能性があるという警告を表示します。 Skype:リンク用の登録されたプロトコル ハンドラー。
もう 1 つの一般的なリンク プロトコルは file:// です。これは通常、外部アプリケーションを呼び出して、その形式に応じてファイルをレンダリングします。 ただし、Microsoft は、リモート ファイル リンクを開けないように意図的に制限を設けています。たとえば、リモート ネットワーク上でホストされているファイルは、インターネット上で共有される可能性があります。
しかし、Check Point の研究者は、文字「!」を追加することでこの制限を回避できることを発見しました。 URL の最後にランダムな文字列が続きます。 たとえば、file:///\10.10.111.111testtest.rtf は機能しませんが、file:///\10.10.111.111testtest.rtf!something は機能し、ファイルは渡されます。 .rtf ファイル拡張子の登録ハンドラーである Microsoft Word に送信します。
これが機能する理由は、!something 部分により、Outlook が Windows 上のコンポーネント オブジェクト モデル (「COM」) のコンテキストでリンクをモニカー リンクとして扱うためです。 COM オブジェクトを検索するために使用されます。 コンポーネント オブジェクト モデルは、さまざまなソフトウェア コンポーネントが相互に通信できるバイナリ インターフェイスです。 1993 年に遡り、ActiveX や Microsoft Object Linking & Embedding (OLE) などのさまざまなテクノロジの基盤として機能してきました。
基本的に、Outlook は file:// プロトコル ハンドラーを削除し、「ole32!MkParseDisplayName()」 API を使用してリンクを解析します。 これにより、これが複合モニカとして扱われます。FileMoniker は \10.10.111.111testtest.rtf であり、ItemMoniker は「something」です。
FileMoniker の拡張子は .rtf であるため、API はその拡張子を処理する COM サーバー (GUI なしでバックグラウンドで COM サーバーとして実行される Microsoft Word) を呼び出します。 要求を受信すると、Word はリモート ファイルを開き、ItemMoniker の「何か」の COM オブジェクトを検索しようとします。
この時点で Word は最初のステップとしてリモート ファイルにアクセスしているため、その名前の COM オブジェクトが存在しなくても問題はありません。 結局のところ、インターネットからダウンロードしたファイルをユーザーが手動で開こうとしたときに、そのファイルに適用される通常の保護ビュー モードを使用せずにこれを実行したことが判明しました。
Outlook の欠陥によるリスクは保護のバイパスだけではありません
これには 2 つの大きな影響があります。1 つ目は、リモート ファイルの場所への要求が SMB 経由で行われるため、攻撃者が制御するサーバーに NTLM 資格情報が漏洩し、それ自体がセキュリティ リスクとなります。 第 2 に、.rtf ファイルにパッチが適用されていない Word の脆弱性に対するエクスプロイトが含まれている場合、攻撃者は通常、そのエクスプロイトを実行するために必要な大きなハードルの 1 つを回避し、ユーザーにファイルの保護ビューを手動でオーバーライドするよう誘導したことになります。
さらに、研究者らは、.rtf ファイル拡張子を使用して Word に到達する概念実証攻撃を実証しましたが、この攻撃は他のファイル拡張子でも機能し、自身を COM サーバーとして登録し、特定のファイルタイプのハンドラー。
#Microsoft #Outlookの欠陥によりワンクリックリモートコード実行攻撃への扉が開く