Microsoft DirectShowリモートコード実行脆弱性

[Akiko Takahashi <takahashi.akiko@xxxxxxxxx>]

Microsoft DirectShowリモートコード実行脆弱性

原版:
Microsoft DirectShow Remote Code Vulnerability
http://www.eeye.com/html/research/advisories/AD20051011a.html

リリース日:
October 11, 2005

報告日: 
May 10, 2005

パッチ開発期間: 154日

リスクレベル: 
高 (リモートコード実行)

ベンダ: 
Microsoft

対象システム:
Windows Media Player 9 (Windows 98, 98SE, ME)
Windows Media Player 9 (Windows 2000 SP1 - SP4)
Windows Media Player 9 (Widnows XP SP1 - SP2)
Windows Media Player 9 (Windows Server 2003 SP1)

eEye ID# EEYEB20050510
OSVDB ID# 18822
CVE #: CAN-2005-2128

概要:
eEye Digital Securityは、Windows Media Player 9 AVIムービー用DirectXコン
ポーネントに、特殊なAVIファイルの再生により、任意のアドレスのメモリ値を
変更可能とする脆弱性を発見しました。本脆弱性を利用する事で、攻撃者は対象
システム上でムービーを実行するユーザの権限で任意のコードを実行することが
可能となります。本脆弱性はDirectXコンポーネント内に存在します。

詳細情報:
Window Media Player 9は、AVIムービーファイルのデコード及び再生に
QUARTZ.DLLを利用します。データの正当性検査が不十分である為、異常な長さフィー
ルドを持つ不正な"strn"要素により、QUARTZに任意のメモリ領域にnullバイトを
格納させる事が可能となります。下記、CAviMSROutPin::ParseHeader内コードは、
"strn"データ内のASCIIZ文字列の後にnull終端文字列を挿入しようとします。

    6858A436    cmp     edi, 6E727473h  ; EDI = [EAX], 要素の"strn"タグ
    6858A43C    jz      6858A45C
     ...
    6858A45C    cmp     ecx, ebx        ; EBX = 0
    6858A45E    jbe     6858A44C
    6858A460    lea     ecx, [eax+8]    ; ECX -> 要素データの開始
     ...
    6858A469    mov     edi, [eax+4]    ; EDI = 要素の長さ
    6858A46C    cmp     byte ptr [ecx+edi-1], 0
    6858A471    lea     ecx, [ecx+edi-1]
    6858A475    jz      6858A44C
    6858A477    and     byte ptr [ecx], 0

本脆弱性を利用する事で、周囲のヒープブロックのヘッダを改変し、ヒープオー
バーフローに似たexploit状態を引き起こす事が可能となります。長さの値とし
て-("strn"要素のオフセット - 18h + 7)を指定する事で、ブロックサイズフィー
ルドの2バイト目(ヒープヘッダ内のオフセット -7)を0にする事が可能であり、
結果的にヒープ管理コードをヒープブロック内のオフセット800h以下の任意のデー
タに対して動作させる事ができます。

null終端文字列の格納場所が"strn"要素のアドレスと相対的であり、従ってヒー
プブロックの開始位置と相対的となる事から、信頼性の高いexploitが可能とな
ります。Windowsの各該当バージョンにて、exploitが可能である事が確認されて
います。

対応ソフトウェア情報:
Retina - Network Security Scanner
Blink - End-point Vulnerability Prevention

ベンダ対応状況:
Microsoft社は本脆弱性に対する対応パッチをリリースしました。
パッチは下記URLよりダウンロード可能です: 
http://www.microsoft.com/japan/technet/security/bulletin/MS05-050.mspx

クレジット:
発見者: Fang Xing (eEye Digital Security)
翻訳: 高橋 晶子 (住商情報システム株式会社)

関連情報:
Retina Network Security Scanner - 日本語版評価版
 - https://sec.sse.co.jp/eeye/freedl.html
Retina Network Security Scanner - 英語版評価版
 - http://www.eeye.com/html/products/retina/download/index.html
Blink Endpoint Vulnerability Prevention - 英語版評価版
 - http://www.eeye.com/html/products/blink/download/index.html


本Advisoryは、住商情報システム株式会社（SCS）が、eEye Digital Securityの
許可を得た上で翻訳しております。
SCSは本和訳が正確な情報になるよう努めさせて頂きます。しかしながら、正確
性、完全性、信頼性、安全性等に関して、いかなる責任も負わないことと致しま
す。


Copyright (c) 1998-2005 eEye Digital Security
Permission is hereby granted for the redistribution of this alert
electronically. It is not to be edited in any way without express
consent of eEye.  If you wish to reprint the whole or any part of this
alert in any other medium excluding electronic medium, please email
alert@xxxxxxxx for permission.

Disclaimer
The information within this paper may change without notice. Use of this
information constitutes acceptance for use in an AS IS condition.  There
are no warranties, implied or express, with regard to this information.
In no event shall the author be liable for any direct or indirect
damages whatsoever arising out of or in connection with the use or
spread of this information.  Any use of this information is at the
user's own risk.



----------------------------------------
  高橋 晶子 <takahashi.akiko@xxxxxxxxx>
  住商情報システム株式会社
  セキュリティソリューション事業部
  セキュリティソリューション第4部
  http://www.scs.co.jp