マイクロソフトのリモート デスクトップ プロトコル (RDP) の重大な脆弱性を発見し、最近修正された研究者のルイジ アウリエマ氏は、おそらくマイクロソフトが発信源であると思われる別の有効なエクスプロイトが金曜日にオンラインで流出したことを受けて、その脆弱性の概念実証エクスプロイトを公開した。
CVE-2012-0002 として特定され、火曜日にマイクロソフトによって修正されたこの重大な脆弱性は、リモートから悪用され、RDP 接続を受け入れるシステム上で任意のコードが実行される可能性があります。
セキュリティ専門家は、この脆弱性を悪用するのに認証は必要なく、コンピュータワームの作成に利用できる可能性があるとして懸念を表明している。
しかし、WindowsワークステーションではRDPがデフォルトで無効になっているため、潜在的な標的の数は限られているため、次のConfickerを心配する必要はないと、デンマークの脆弱性調査会社Secuniaのチーフセキュリティスペシャリスト、カーステン・エイラム氏は述べた。
それでも、RDP サービスは企業環境でよく使用され、通常はファイアウォール経由でアクセスできるため、この脆弱性は攻撃者にとって依然として興味深いものとなっています。
「これは悪用の観点から魅力的な脆弱性であり、さまざまな団体がこれに対する信頼できる悪用策の開発に多大なリソースを費やしている」とエイラム氏は述べた。
エクスプロイトはすぐに現れる
CVE-2012-0002の脆弱性を突く有効なエクスプロイトの作成は容易ではないと、マイクロソフトのセキュリティエンジニアであるスハ・カン氏とジョナサン・ネス氏は火曜日のブログ投稿で述べた。「今後数日でエクスプロイトが開発されるとは驚きです。しかし、今後30日以内には有効なエクスプロイトコードが開発されると期待しています。」
しかし、金曜日早朝、中国のファイルホスティングウェブサイトにエクスプロイトが出現しており、その作成者はおそらくマイクロソフト自身だとアウリエマ氏は述べた。「実行可能なPoC（概念実証エクスプロイト）は2011年11月にコンパイルされ、MSRC11678のようなデバッグ文字列が含まれています。これは明らかにマイクロソフト セキュリティ レスポンス センター（MSRC）への言及です。」
さらに、このエクスプロイトは、研究者がZDI（Zero Day Initiative）へのレポートに含めたパケットと同一の特別なパケットを送信します。ZDIは、脆弱性レポートに対して研究者に報酬を支払い、その後、影響を受けるベンダーと詳細情報を共有するプログラムです。Auriemma氏は、このパケットに研究者が追加した独自の要素が含まれているため、同じパケットであると確信しています。
研究者は、マイクロソフトが内部テスト用にこのエクスプロイトを作成し、その後、Microsoft Active Protections Program (MAPP) を通じて他のセキュリティベンダーと共有し、攻撃およびマルウェアのシグネチャを作成できるようにしたと考えています。
アウリエマ氏は、このファイルはこれらの企業のいずれか、あるいはマイクロソフトの従業員によって直接的あるいは間接的に漏洩された可能性があると述べた。ハッカーがマイクロソフトから盗んだ可能性もあるが、その可能性は低いと付け加えた。
マイクロソフトは、公開された概念実証コードが、MAPPパートナーと共有したものと一致している可能性があることを確認しました。「マイクロソフトは、Microsoft Active Protections Program（MAPP）の脆弱性に関する詳細情報の公開について積極的に調査しており、お客様を保護するために必要な措置を講じます」と、マイクロソフトのTrustworthy Computing Groupディレクターであるユンサン・ウィー氏は電子メールで述べています。
パッチ適用の要請
この異例の漏洩を受け、オーリエマ氏はオリジナルのPoCエクスプロイトと、脆弱性の正確な箇所を指摘するアドバイザリを公開することを決定しました。PoCは非常に基本的なものですが、経験豊富なエクスプロイト作成者であれば、これを改変してリモートコード実行を実現できると研究者は述べています。
「PoCが公開されたからといって、必ずしも脆弱性の悪用が容易になるわけではありませんが、確固たる出発点となることは確かです」とSecuniaのEiram氏は述べています。「パッチにアクセスできれば、bindiffing（パッチ適用済みのバイナリとパッチ未適用のバイナリを比較すること）によって脆弱性の詳細を推測することは可能ですが、脆弱性を引き起こす原因を突き止めるのは必ずしも容易ではありません。PoCが公開されていれば、この点は明確になります。」
CVE-2012-0002 のパッチをインストールしていないシステム管理者は、パッチをインストールするか、少なくとも Microsoft が MS12-020 セキュリティ情報で説明している回避策のいずれかを展開することを強くお勧めします。
