HTMLヘルプファイル解析バッファオーバーフロー

[Akiko Takahashi <takahashi.akiko@xxxxxxxxx>]

HTMLヘルプファイル解析バッファオーバーフロー
HTML Help File Parsing Buffer Overflow
http://www.eeye.com/html/research/advisories/AD20050614.html

リリース日: 
June 14, 2005

報告日: 
March 16, 2005

パッチ開発期間: 
90日

リスクレベル: 
高 (リモートコード実行)

ベンダ: 
Microsoft

対象OS:
Windows 98 / 98 SE
Windows Me
Windows 2000
Windows XP
Windows 2003

概要:
eEye Digital Securityは、複数のWindowsのバージョンにて、
Windows Help (.CHM)ファイルの扱いに脆弱性があることを発見し
ました。この脆弱性を利用する事により、攻撃者はリモートから
任意のコードを実行することが可能となり、影響を受けるコンピュー
タを完全に制御する可能性があります。"ms-its"プロトコル処理
の仕様上、Internet Explorer上で悪質な.CHMファイルをユーザー
の操作なく開かせる事が可能です。

例：
ms-its:\\server\\file.chm:/label.htm

本脆弱性は、内部的にInternet ExplorerのWindows Helpコンポー
ネントを使用する全てのアプリケーションに影響します。


詳細情報:
ヒープバッファオーバフローを発生させるCHMファイルを作成する
ことにより、下記いずれかの状態となり、対象ホストを制御可能
となります：

(1) 1A40C0DD call dword ptr [ecx+18h] : ECXを制御可能。EAX
はバッファを指している。

(2) 717AA58C call dword ptr [ecx+4] : ECXを制御可能。EAXは
バッファを指している。

(3) 77F8C7A9 mov dword ptr [ecx],eax : ECXとEAXを制御可能。
EDIはバッファを指している。

このヒープバッファオーバフローはサイズフィールドの整数オー
バーフローにより発生します。非常に大きなDWORD値(0xFFFFFFFD
など)をサイズフィールドに指定することによりバッファオーバー
フローが発生します。メモリコピーにおいて全ての連続したヒー
プメモリが上書きされ、最終的にページバウンダリに到達します。

対応ソフトウェア情報:
Retina Network Security Scanner
Blink - Endpoint Vulnerability Prevention

ベンダ対応状況:
Microsoft社は本脆弱性に対する対応パッチをリリースしました。
パッチは下記URLよりダウンロード可能です: 
http://www.microsoft.com/technet/security/bulletin/MS05-026.mspx. 

発見者:
鵜飼裕司 (eEye Digital Security)

関連情報:
Retina Network Security Scanner - 英語版評価版ダウンロード
 - http://www.eeye.com/html/products/retina/download/index.html
Blink Endpoint Vulnerability Prevention - 英語版評価版ダウンロード
 - http://www.eeye.com/html/products/blink/download/index.html
Retina Network Security Scanner - 日本語版
 - http://www.sse.co.jp/eeye/index.html
   日本語版評価版リクエスト: eeye-info@xxxxxxxxxxxxx

Copyright (c) 1998-2005 eEye Digital Security