Microsoft IIS 6.0のゼロデイ脆弱性、遠隔で任意のコード実行が可能に

Microsoft Internet Information Services（IIS）6.0 に、バッファオーバーフローのゼロデイ脆弱性「CVE-2017-7269」が確認されました。PROPFIND リクエストのヘッダー「IF」の検証不備に起因するものです。

遠隔の攻撃者は、メソッド「PROPFIND」を用いて細工したリクエストを利用することにより、IIS の WebDAVコンポーネントに存在する脆弱性を突くことが可能になります。脆弱性の利用に成功すると、アプリケーションを実行しているユーザのコンテキスト内で、攻撃者により任意のコードが実行される可能性があります。また、脆弱性の利用が成功しなかった場合でも、「サービス拒否（Denial of Service、DoS）」の状態に陥る恐れがあります。この脆弱性を確認したリサーチャの報告によると、2016年7月または8月にこの脆弱性を利用した攻撃が確認されています。また、この脆弱性について 2017年3月27日に公表された際に、「Proof-of-concept（PoC、概念実証型エクスプロイト。実際に有効な攻撃ができることを実証している攻撃コード）」が公開されています。現在、サイバー犯罪者は、この公開コードにもとづいて、不正なコードの作成段階にあると考えられます。

■WebDAVについて
「Web Distributed Authoring and Versioning（WebDAV）」とは、クライアントがリモートで Webコンテンツの作成や管理などの操作を可能にする HTTPプロトコルの拡張機能です。WebDAVは、HTTPリクエストに許可されている標準HTTPメソッドとヘッダーのセットを拡張します。WebDAVメソッドの例として、「COPY」、「LOCK」、「MKCOL」、「PROPFIND」、「UNLOCK」などが挙げられます。

今回確認された脆弱性は、メソッド「PROPFIND」と IFヘッダーを用いて利用されます。メソッド「PROPFIND」は、「Request-URI」によって指定されるリソースで設定されたプロパティを取得します。すべての WebDAV準拠のリソースは、メソッド「PROPFIND」をサポートしている必要があります。

IFヘッダーは「状態トークン」と「ETag」を処理します。トークンと ETagを特定のリソースに一致させた、一連の状態リストを提供することによって、リクエストを条件付きにします。IFヘッダーに示されるすべての状態が失敗すると、状態コード「412（Precondition Failed）」でリクエストが失敗します。

簡単な PROPFINDリクエストを以下に示します。

図１：PROPFINDリクエスト

IFヘッダーの典型的な構文の例：

If: <http://www.example.com/resource1> (<locktoken:Test1>) ([“ETag”]) <http://www.example.com/random>([“ETag”])

■脆弱性の説明
この脆弱性は典型的なバッファオーバーフローの脆弱性です。リサーチャによれば、影響を受けるシステムは Windows 2003と IIS version 6.0と報告されています。この脆弱性は、IFヘッダー内に2つ以上の HTTPリソースがあり、PROPFINDリクエストの IFヘッダーが過大である場合に、悪用される恐れがあります。攻撃者が脆弱性を突くことに成功した場合、リモートでコードを実行することが可能になります。また、成功しなかった場合でも、サービス拒否の状態に陥る恐れがあります。

■トレンドマイクロの対策
IIS 6.0はWindows Server 2003に標準で搭載されていました。しかし 残念ながら、Microsoftによるサポートは終了しており、旧バージョンの OSのための更新プログラムが公開されることはありません。リスクを軽減するには、脆弱性を抱える IIS 6.0をインストールする際に、WebDAVサービスの機能を無効にすることを推奨します。新しいバージョンの Windows Serverに付属している IIS 7.0以降については、この脆弱性の影響を受けることはありません。

サーバ向け総合セキュリティ製品「Trend Micro Deep Security™」をご利用のお客様は、以下の DPIルールによってこの脆弱性を利用する脅威から保護されています。

• 1008266 – Microsoft IIS WebDAV ScStoragePathFromUrl Buffer Overflow Vulnerability (CVE-2017-7269)

ネットワーク型対策製品「Deep Discovery™ Inspector」は、以下の DDIルールによってこの脅威を検知します。

• Rule 2357 – CVE-2017-7269-HTTP_WEBDAV_BUFFER_OVERFLOW_

ネットワークセキュリティ対策製品「TippingPoint」では、以下の Custom Shield Writer（CSW）により今回の脅威をブロックします。

• CSW: HTTP: Microsoft IIS ScStoragePathFromUrl Buffer Overflow Vulnerability (CVE-2017-7269)

※調査協力：Ziv Chang

参考記事：

• 「IIS 6.0 Vulnerability Leads to Code Execution」
  by Virendra Bisht (Vulnerability Researcher)

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）