MDT2DD.DLL COMオブジェクト初期化されないヒープメモリ脆弱性

[Akiko Takahashi <takahashi.akiko@xxxxxxxxx>]

MDT2DD.DLL COMオブジェクト初期化されないヒープメモリ脆弱性

原版:
MDT2DD.DLL COM Object Uninitialized Heap Memory Vulnerability
http://www.eeye.com/html/research/advisories/AD20051011d.html

リリース日:
October 11, 2005

報告日: 
September 15, 2005

パッチ開発期間: 26日

リスクレベル: 
高 (リモートコード実行)

ベンダ: 
Microsoft

対象システム:
Internet Explorer 5 SP4
Internet Explorer 5.5 SP2 - Windows ME
Internet Explorer 6 SP1 - 全Windows OS 
Internet Explorer 6 - Windows Server 2003 / Windows Server 2003 SP1
Internet Explorer 6 - Windows XP SP2

eEye ID#:  EEYEB20050915
OSVDB ID#: 2692
CVE #:  CAN-2005-2127

概要:
eEye Digital Securityは、Microsoft Design Tools COMオブジェクトのヒープ
メモリ割り当てと利用に脆弱性があることを発見しました。攻撃者は本脆弱性を
利用したウェブページやHTMLドキュメントを作成することで、ページを参照する
ユーザのシステム上で任意のコードを実行する事が可能です。

詳細情報:
Microsoft Design Tools Polyine Control 2 COMオブジェクト(MDT2DD.DLLにて
提供)は、MDT2FW.DLLによってエキスポートされるCCUMemMgr::Alloc関数にて、
同じくMDT2FW.DLLによってエキスポートされるCCUMemMgrのグローバルクラスイ
ンスタンス、g_cumgrにメモリを割り当てます。CCUMemMgr::AllocはHeapAlloc関
数にてヒープメモリを割り当て、クラスインスタンス内のフラグがセットされて
いれば0に初期化します。ただし、g_cumgr内のフラグはセットされていない為、
割り当てられたヒープブロックは0に初期化されず、過去の内容を保持したまま
になります。

この状態により、MDT2DD.DLLの前提条件が侵害されexploit可能となります。
"ATL::CComCreator<class ATL::CComPolyObject<class
CPolyCtrl>>::CreateInstance"関数は、新しいクラスインスタンスにメモリを割
り当てる為、g_cumgr.Alloc(0xA4)を呼び出しますが、それに続く初期化に失敗
すると、CPolyCtrl::~CPolyCtrlが実行され、ヒープブロック内のオフセット
+0x98から関数テーブルのポインタを取得しようとします。この時点で、そのフィー
ルドは初期化されていない為、攻撃者が指定したポインタを参照させ、任意のア
ドレスに制御を移すことが可能となります。

対応ソフトウェア情報:
Retina - Network Security Scanner
Blink - End-point Vulnerability Prevention

ベンダ対応状況:
Microsoft社は本脆弱性に対する対応パッチをリリースしました。
パッチは下記URLよりダウンロード可能です: 
http://www.microsoft.com/japan/security/bulletins/MS05-047e.mspx

クレジット:
発見者: Fang Xing (eEye Digital Security)
翻訳: 高橋 晶子 (住商情報システム株式会社)

関連情報:
Retina Network Security Scanner - 日本語版評価版
 - https://sec.sse.co.jp/eeye/freedl.html
Retina Network Security Scanner - 英語版評価版
 - http://www.eeye.com/html/products/retina/download/index.html
Blink Endpoint Vulnerability Prevention - 英語版評価版
 - http://www.eeye.com/html/products/blink/download/index.html


本Advisoryは、住商情報システム株式会社（SCS）が、eEye Digital Securityの
許可を得た上で翻訳しております。
SCSは本和訳が正確な情報になるよう努めさせて頂きます。しかしながら、正確
性、完全性、信頼性、安全性等に関して、いかなる責任も負わないことと致しま
す。


Copyright (c) 1998-2005 eEye Digital Security
Permission is hereby granted for the redistribution of this alert
electronically. It is not to be edited in any way without express
consent of eEye.  If you wish to reprint the whole or any part of this
alert in any other medium excluding electronic medium, please email
alert@xxxxxxxx for permission.

Disclaimer
The information within this paper may change without notice. Use of this
information constitutes acceptance for use in an AS IS condition.  There
are no warranties, implied or express, with regard to this information.
In no event shall the author be liable for any direct or indirect
damages whatsoever arising out of or in connection with the use or
spread of this information.  Any use of this information is at the
user's own risk.


----------------------------------------
  高橋 晶子 <takahashi.akiko@xxxxxxxxx>
  住商情報システム株式会社
  セキュリティソリューション事業部
  セキュリティソリューション第4部
  http://www.scs.co.jp