2015年7月、イタリア企業「Hacking Team」が攻撃を受け、大量の機密情報が漏えいした事例により、2つのゼロデイ脆弱性が続けて確認されました。そして、7月10日、さらに別の 2つの Adobe Flash Player に存在するゼロデイ脆弱性「CVE-2015-5122」と「CVE-2015-5123」が確認されました。新たに確認された 2つの脆弱性も「CVE-2015-5119」と同じオブジェクト関数「valueOf」を悪用するものです。また、この 2つの脆弱性に関しては、現時点でまだ修正プログラムが公開されていないゼロデイ脆弱性の状態となっています。
トレンドマイクロでは「CVE-2015-5123」のゼロデイ脆弱性を Adobe社に報告し、同社は、この脆弱性の緊急度を「クリティカル」としてセキュリティ情報をすでに公開しています。この脆弱性は、Windows、Mac および Linux 上のAdobe Flash Player のすべてのバージョンに影響し、攻撃者は、この脆弱性を利用した攻撃により感染した PC を制御下に置くことが可能となります。また、「CVE-2015-5122」に関してはこの後に公開するブログ記事で詳細をお伝えします。
■「CVE-2015-5123」の根本原因の解析
弊社の解析によると、「CVE-2015-5123」はオブジェクト関数「valueOf」を悪用するものです。利用するオブジェクトは「BitmapData」となります。
この脆弱性は、以下の手順により利用されます。
- 新規の「BitmapData」オブジェクトから、2つの「Array」オブジェクトと 2つの新規の「MyClass」オブジェクトを用意し、「MyClass」オブジェクトを各「Array」オブジェクトに割り当てる
- 「MyClass」の関数「valueOf」は上書きされると、2つの「Array」オブジェクトをパラメータとして「BitmapData.paletteMap」を呼び出す。「BitmapData.paletteMap」は関数「valueOf」を実行する
- 関数「valueOf」では、「BitmapData.dispose()」を呼び出し、「BitmapDataobject」の基本的なメモリを解放する。結果として、Flash Player が機能停止する
弊社は、今回のゼロデイ脆弱性を利用した攻撃を確認するため、この「Proof-of-Concept（PoC、概念実証型エクスプロイト。実際に有効な攻撃ができることを実証している攻撃コード）」を監視しています。新しい情報や調査結果が入り次第、本ブログでお知らせします。「Hacking Team」から流出した情報が一般に入手可能なことを考えると、この脆弱性によりユーザは危険にさらされる可能性があります。Adobe から修正プログラムが公開されるまで、ユーザは Adobe Flash Player を無効にすることを推奨します。
トレンドマイクロ製品をご利用のユーザは、この脅威から守られています。弊社のネットワーク挙動監視ソリューション「Trend Micro Deep Discovery（トレンドマイクロ ディープディスカバリー）」のサンドボックスや「Script Analyzer」エンジンにより、他のエンジンやパターンの更新がなくても、この脅威をその挙動で検出することができます。ブラウザ向け脆弱性利用対策技術「ブラウザガード」を搭載する「ウイルスバスター クラウド」や「Trend Micro 脆弱性対策オプション（ウイルスバスター コーポレートエディション プラグイン製品）」、「ウイルスバスター ビジネスセキュリティ」といったネットワーク端末へのセキュリティ対策製品は、エクスプロイトコードをホストする URL にアクセスするタイミングでエクスプロイトコードをブロックします。「ブラウザガード」はまた、ブラウザや関連したプラグインを狙うエクスプロイトコードから保護します。
トレンドマイクロのサーバ向け総合セキュリティ製品「Trend Micro Deep Security（トレンドマイクロ ディープセキュリティ）」および「Trend Micro 脆弱性対策オプション（ウイルスバスター コーポレートエディション プラグイン製品）」をご利用のお客様は、以下のフィルタを適用することにより、問題のゼロデイ脆弱性を利用した攻撃から保護されます。
- 1006859 – Adobe Flash Player BitmapData Remote Code Execution Vulnerability (CVE-2015-5123)
なお、今回の解析にあたり、Adobe社の Peleus Uhley氏にご協力いただきました。御礼申し上げます。
関連記事：
- 伊企業「Hacking Team」の情報漏えい事例：Flash Playerに存在する未修正の不具合を確認
/archives/11851 - 「Hacking Team」の漏えい事例：Open Typeフォントマネージャの脆弱性の検証
/archives/11866 - 「Hacking Team」の情報漏えい事例：Flash Playerのゼロデイ脆弱性「CVE-2015-5119」、複数のエクスプロイトキットで追加を確認
/archives/11877 - 「Hacking Team」の情報漏えい事例：Flashゼロデイ脆弱性、発覚前に韓国と日本で被害発生か
/archives/11884
Hacking Team 関連の記事一覧
| 日付 | 更新 |
| 7月5日 | 伊企業「Hacking Team」が攻撃を受け、400Gバイト以上の企業の機密情報がインターネットに公開される。 |
| 7月7日 | 3つの脆弱性 – Adobe Flash Player の脆弱性 2つと Windowsカーネルの脆弱性 1つが漏えいした情報から確認される。そのうちの 1つ「CVE-2015-5119」は Flashのゼロデイ脆弱性。
Windowsカーネルに存在する脆弱性「CVE-2015-2387」は、Open Typeフォントマネージャのモジュール（ATMDF.dll）に存在し、サンドボックスを使ったセキュリティ対策を回避するために利用される。 Flash のゼロデイ脆弱性「CVE-2015-5119」が、「Angler Exploit Kit」や「Nuclear Exploit Kit」に追加される。韓国および日本に限定した攻撃も確認。 |
| 7月11日 | 2つの Flashゼロデイ脆弱性「CVE-2015-5122」および「CVE-2015-5123」が漏えいした情報から新たに確認される。 |
| 7月13日 | Hacking Team が自社製品「Remote Control System （RCS）」のエージェントを対象とする PC に常駐させるための UEFI および BIOS に感染するルートキットが漏えいした情報から確認される。 |
| 7月14日 | IEゼロデイ脆弱性「CVE-2015-2425」が新たに確認される。 |
| 7月16日 | 「Google Play」のフィルタを回避する偽のニュースアプリが確認される。 |
| 7月20日 | Windowsに存在する新たなゼロデイ脆弱性「CVE-2015-2426」が確認され、Microsoft は定例外の更新プログラムを公開。 |
| 7月21日 | 不正プログラム「RCSAndroid」を解析した結果、Hacking Team が対象とするモバイル端末を監視していたことが判明。 |
参考記事：
- 「New Zero-Day Vulnerability (CVE-2015-5123) in Adobe Flash Emerges from Hacking Team Leak」
by Peter Pi (Threats Analyst)
翻訳：品川 暁子（Core Technology Marketing, TrendLabs）