一太郎の脆弱性 CVE-2014-7247の関連情報をまとめてみた。

2014年11月13日にジャストシステムが同社の一太郎に脆弱性が確認され、その修正プログラムを公開したことを発表しました。ここではその関連情報をまとめます。

開発元 公式発表

• 2014/11/13 [JS14003] 一太郎の脆弱性を悪用した不正なプログラムの実行危険性について

注意喚起・脆弱性公開情報

• 2014年11月一太郎シリーズの脆弱性に関する注意喚起 (JPCERT/CC)
• 「一太郎」シリーズにおいて任意のコードが実行される脆弱性対策について(JVN#16318793) (IPA)
• JVN#16318793 一太郎シリーズにおいて任意のコードが実行される脆弱性

脆弱関連情報

• CVE-2014-7247
• JS14003
• JVNDB-2014-000131

CVSS

• 9.3

脆弱性情報 公開日

• 2014年11月13日

発見者

• 不明
• 脆弱性届出はジャストシステム自身が行っている。

影響範囲

• 一太郎2014 徹
• 一太郎2013 玄
• 一太郎2012 承
• 一太郎2011 創 / 一太郎2011
• 一太郎Pro 2
• 一太郎Pro
• 一太郎Government 7
• 一太郎Government 6
• 一太郎2010
• 一太郎ガバメント2010
• 一太郎2009
• 一太郎ガバメント2009
• 一太郎2008
• 一太郎ガバメント2008
• 一太郎2014 徹 体験版
• 一太郎Pro 2 体験版

対策

• ジャストシステムが公開したセキュリティ更新モジュールを適用する。
• 体験版は一度アンインストールを行い、最新版をインストールする。

検体情報

ファイル名*1	種類	SHA256
エボラ予防.jtd	ドロッパー (一太郎)	d4d2269c99913e33796bfe33f7cdcee8c628c3b57bb146921e2378645b8cfabf
141105 官民連携強化の必要性rev1.jtd	ドロッパー (一太郎)	1eac1ee41016f4b515874f66a5c03b35fc07ad35073b58583861f0d08cd887dd
健康保険のお知らせ.jtd	ドロッパー (一太郎)	dd06173751257c9a8f24babbc1179e433f1bae5c2b841763b95c1c6890e5b983
国防会議資料.jtd	ドロッパー (一太郎)	920300763729a300863c5de1b3850f2ceac2c7688011d8423f80d3989dbd8a1f
★合体版.jtd	ドロッパー (一太郎)	04283696b53c5d37f9b960172ec57f214b3291f48315d1116bc8d1707c789111
kentai.jtd?	ドロッパー (一太郎)	c4a6588e642dcc7d66c71c179417dc14a784600c709c69a8946158ce2daf1fae
不明	不明	c5c22fe832a537c8dc36f00d9d5c10cf271aedac (SHA1)

• 検体情報は次の方から情報を頂き掲載しています。
  • @ucqさん
  • @Jojihamadaさん

検知名

• TROJ_TARODROP.SM (TrendMicro) 他にも亜種あり
• Bloodhound.Exploit.557 (Symantec)
• Troj/DocDrop-DL (Sophos)

解析記事

• 日本語ワープロソフト 「一太郎」に対するゼロデイ攻撃を確認(TrendMicro)
• ゼロデイ攻撃に利用された一太郎の脆弱性とシェルコードの詳細分析 (TrendMicro)

悪用元に関する情報

グループ名 (Symantecによる)

• CloudyOmega攻撃の実行グループ
• LadyBoyleの実行グループ
• HiddenLynx

• 悪用グループの関連性考察
  • CloudyOmega 攻撃: 一太郎のゼロデイ脆弱性を悪用して日本を継続的に狙うサイバースパイ攻撃

気になる記述

• Symantecの記事中に次の気になる記述がある。

侵害されたサイトは、さまざまな Web サイトプラットフォーム上で Apache や Microsoft Internet Information Services（IIS）など各種の Web サーバーソフトウェアによってホストされています。このことから、単一のソフトウェア製品や Web サイトプラットフォームの脆弱性を突かれて侵害されたのではないことが分かります。攻撃者は何らかの手段でクラウドサービス自体を侵害して、複数の Web サイトを Backdoor.Emdivi の C&C サーバーとして改ざんしたのです。
　
侵害されたクラウドホスティング会社には通知済みですが、このブログの執筆時点ではまだ返答がありません。

http://www.symantec.com/connect/blogs/cloudyomega

• 医療費通知偽装で使用されていたドメインのIPアドレス運営組織を調べてみる。

ドメイン	IPアドレス	運営組織
arkhe-will.jp	125.206.116.95	GMO CLOUD K.K.
kaerunote.com	125.206.115.72	GMO CLOUD K.K.
hosting-sv.jp	125.206.115.72	GMO CLOUD K.K.
muku-mori.com	125.206.115.79	GMO CLOUD K.K.
nishina.gr.jp	125.206.115.72	GMO CLOUD K.K.
sekisan.biz	125.206.115.79	GMO CLOUD K.K.
sakura-farm.com	210.224.177.242	HETEML-JP

更新履歴

• 2014/11/13 PM 新規作成
• 2014/11/14 PM 検体情報を追加

*1:VTメタデータよりそれらしきファイル名がついている場合に記載