「Hacking Team」の漏えい事例：Open Typeフォントマネージャの脆弱性の検証

2015年7月、イタリア企業「Hacking Team」が攻撃を受け、大量の機密情報が漏えいしたことが報道されました。漏えいした情報には、攻撃を実行するためのツールが含まれており、Adobe Flash Player や Windows に存在する脆弱性を利用したエクスプロイトコードも確認されました。

トレンドマイクロは、今回の漏えい事例で確認された Adobe Flash Player に存在する脆弱性についてすでに取り上げました。本稿では Windows カーネルに存在する脆弱性について検証します。この脆弱性は、Adobe が提供している Open Type フォント管理モジュール ”ATMFD.dll” に存在します。このモジュールはカーネルモードで実行され、攻撃者は脆弱性を利用して権限昇格し、サンドボックス機能を備えるセキュリティ対策製品を回避します。

■Windowsカーネルに存在する脆弱性の検証
この脆弱性の根本原因は単純です。アプリケーションが特定の GDI API（GDI32!NamedEscape など）を呼び出す際、フォント処理に使用するフォントドライバを指定できます。”ATMFD.dll“ はフォントドライバの 1つです。このモジュールがフォントの情報を処理する際、符号付数字の拡張により「バッファアンダーフロー」が起こります。

この脆弱性利用について、簡単に説明します。

図1：脆弱性を抱えるコードの例

5行目のコードは符号拡張です。i が 0x8000 の場合、index は 0xffff8000 となります。符号付数字から見ると index は非常に小さな値（負の値）となるため、6行目の if文は真となります。8行目で、index*2+6 は負の値となります。そのため、buffer_base[index*2+6] は buffer_base の前の位置を指します。

攻撃者はフォントバッファのデータを用意することができ、脆弱性を利用して入力されたバッファの前の位置に自身が制御するコードを書くことが可能になります。

今回の漏えい事例、また脆弱性に関しては、下記の記事もご参照下さい。新しい情報が入り次第、追って更新します。

• 伊企業「Hacking Team」の情報漏えい事例：Flash Playerに存在する未修正の不具合を確認
  /archives/11851

Hacking Team 関連の記事一覧