2017-12-09 セキュリティニュースまとめ

HP 製ノート PC にキーロガー: デバッグコードを除去し忘れ

www.bleepingcomputer.com

• HP 製ノート PC の一部に開発用のデバッグコードが除去し忘れられたまま出荷されている:
  • 一覧はこちら
• 影響: デバッグ機能自体はオフにはなっているが、Windows にレジストリキーに値を設定することで有効化できる HKLM\Software\Synaptics\%ProductName% HKLM\Software\Synaptics\%ProductName%\Default
• 該当する機器にはすでにパッチがリリースされているので上記 HP サイトを参照のこと

CVE-2017-11882: Microsoft 数式エディタに存在する脆弱性の悪用

researchcenter.paloaltonetworks.com

• JVNDB-2017-009645 - JVN iPedia - 脆弱性対策情報データベース に動作原理説明

  • Microsoft Office 数式エディタにスタックベースのバッファオーバーフローの脆弱性
  • Microsoft 数式エディタは Microsoft Office に付属するコンポーネント
  • 17 年前から更新が行われていないが現バージョンでも利用されている

  • VJN iPedia の説明:

    • 「メモリ破損の脆弱性に対する DEP、ASLR、CFG などの保護が組み込まれていない」
    • 「Microsoft 数式エディタは eqnedt32.exe で提供される out-of-process COM サーバーで、MS Office アプリケーションに対する保護の範囲外」
    • 「Windows 7 のユーザ: システムレベルで EMET の ASLR を「常にオン」に設定していれば保護される」
    • 「Windows 10 のユーザ: Windows 7 のようなシステムレベルでの ASLR 設定はできない。対策を行う必要がある」

• 実際のエクスプロイト

  • エクスプロイトコマンドの実行に利用可能なバイトサイズは 36 バイト+ 8 バイトの合計 44 バイトのみ
  • 44 バイトの制限内でリモートサーバーに接続させるか Metasploit サーバーにアクセスさせるなどをすれば悪意のあるプログラムをダウンロード実行可能
• 今後何年も悪用されうる脆弱性、Microsoft の対策アドバイザリにしたがい修正パッチ適用するか、それができない場合は数式エディタを無効化する緩和を行うべき
  • Microsoft アドバイザリ
  • 数式エディタを無効にする方法