Tenable ブログ
ブログ通知を受信する
SandboxEscaper： 4件のゼロデイ脆弱性を含むローカルの権限昇格のバグが公開
Windowsタスクスケジューラ、Windowsエラー報告、Internet Explorer 11、Microsoft Edge、およびWindowsインストーラにおける4件のゼロデイ脆弱性を含む5件の脆弱性が開示されました。これらの脆弱性が悪用されると権限が昇格される可能性があります。
背景
5月21日から23日に、セキュリティ研究者は、Windowsタスクスケジューラ（bearlpe）、Windowsエラー報告（angrypolarbear2）、Internet Explorer 11（IE11）、Microsoft Edge、およびWindowsインストーラにおける5件の脆弱性に関する概念実証（PoC）コードを公開しました。 この5件のうち4件はゼロデイの脆弱性です。これらは、この研究者による以前の開示（2018年8月のWindowsタスクスケジューラ、2018年10月のData Sharing Service、ReadFile.exe、および2018年12月のWindowsエラー報告（WER） におけるゼロデイ脆弱性）に続くものです。
分析
公開されている5つの脆弱性は、各PoCのフォルダ名に基づいて命名されています。
- “bearlpe” (ゼロデイ)
- “angrypolarbear2”
- “sandboxescape” (ゼロデイ)
- “CVE-2019-0841-BYPASS” (ゼロデイ)
- “InstallerBypass” (ゼロデイ)
bearlpeはWindowsタスクスケジューラの.jobインポート機能を対象とし、angrypolarbear2はWERツールのレポートキュータスクを対象としています。CVE-2019-0841-BYPASSは、Microsoft Edgeをターゲットとし、以前に別の研究者によって発見されていますが、脆弱性はまだ対処されていないようです。 InstallerBypassは、インストールがキャンセルされたときに使用されるロールバックスクリプトを対象とします。
これら4つの脆弱性はすべて、随意アクセス制御リスト（DACL）の作成を標的としています。これらの脆弱性の中には、ネイティブハードリンクの使用を必要とするものがあります。
IE11におけるSandboxEscaperの脆弱性は、既存のIEリモートコード実行（RCE）の脆弱性を突き、IE11のサンドボックスから抜け出すことを可能にします。IShdocvwBrokerのShowOpenFile（）メソッドの欠陥、または、それにより公開されるため、特別に細工されたHTMLファイルは昇格した権限で評価される可能性があります。評価時には、このファイルの保護モードは有効になりません。研究者は、この脆弱性は「ブローカーを介してウィンドウズファイルピッカーを開くことを可能にする他のサンドボックスでも動作する」と指摘しています。
概念実証
概念実証はGithubのbearlpe、angrypolarbear2、sandboxescape、CVE-2019-0841-BYPASS、およびInstallerBypassと呼ばれるリポジトリフォルダにあります。
CERT/CCの脆弱性アナリストであるWill Dormannは、bearlpeの概念実証を試験し、完全にパッチが当てられたWindows 10 32ビットシステム、64ビットシステム、およびWindows Server 2016および2019で攻撃が成功したことを確認しました。しかし、Dormannは、Windows 7またはWindows 8システムでエクスプロイトを再現することはできませんでした。
ソリューション
このブログ記事が公開された時点では、5件の脆弱性のうち4件は対処されていませんでした。マイクロソフトは2019年6月の火曜日のパッチリリースでそれらにパッチをあてるかどうかを報告していません。angrypolarbear2は、マイクロソフトに報告され、2019年5月のパッチ火曜日のリリースで修正されました（CVE-2019-0863）。興味深いことに、CVE-2019-0863を発見した2人の研究者のうちの1人は「Polar Bear」と呼ばれています。 Githubリポジトリ名でも研究者は、この名前を使用しています。Tenableは、ゼロデイ脆弱性に関する追加の更新を継続的に監視しています。
影響を受けているシステムの特定
CVE-2019-0863を識別するためのプラグインのリストはこちらからご覧いただけます。
Bearlpe PoCのテストによると、Windows 10 32ビットおよび64ビットシステム、およびWindows Server 2016およびWindows Server 2019は脆弱です。これらの脆弱性に対するパッチがマイクロソフトによりリリースされ次第、この記事を更新し、攻撃されたシステムを識別するためのプラグインへのリンクを提供します。それまでは、攻撃された資産を特定するために、以下のプラグインを使用することをお勧めします。
- Microsoft Internet Explorer Version Detection
- Microsoft Internet Explorer Version Detection (NNM)
- Microsoft Edge Browser Installed
- Microsoft Edge Browser Detection (NNM)
- OS Identification（OSバージョンをプラグイン出力に表示する）
- Windows 10 Operating System Detection (NNM)
詳細情報
- Github Repository for bearlpe
- Github Repository for angrypolarbearbug2
- Github Repository for sandboxescape
- Github Repository for CVE-2019-0841-BYPASS
- Github Repository for InstallerBypass
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.io の詳細情報をご覧ください。今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
Operational Technology in the DoD: Ensuring a Secure and Efficient Power Grid
April 19, 2024In an evolving threat landscape, the DoD must make sure that its mission-critical operations don’t experience power outages.
Strengthening the Nessus Software Supply Chain with SLSA
April 16, 2024You know Tenable as a cybersecurity industry leader whose world-class exposure management products are trusted by our approximately 43,000 customers, including about 60% of the Fortune 500. But sometimes we like to give you a peek behind the curtain to share how we protect our own house against cyberattacks – and that’s what this blog is about. Today we’re sharing our experience adopting the supply-chain security framework SLSA, with the hopes that the lessons we learned will be helpful to you.
Cybersecurity Snapshot: CISA Says Midnight Blizzard Swiped U.S. Gov’t Emails During Microsoft Hack, Tells Fed Agencies To Take Immediate Action
April 12, 2024Check out CISA’s urgent call for federal agencies to protect themselves from Midnight Blizzard’s breach of Microsoft corporate emails. Plus, a new survey shows cybersecurity pros are guardedly optimistic about AI. Meanwhile, SANS pinpoints the four trends CISOs absolutely must focus on this year. And the NSA is sharing best practices for data security. And much more!
CVE-2024-4040: CrushFTP Virtual File System (VFS) Sandbox Escape Vulnerability Exploited
April 23, 2024A zero-day vulnerability in CrushFTP was exploited in the wild against multiple U.S. entities prior to fixed versions becoming available as the vendor recommends customers upgrade as soon as possible.
Operational Technology in the DoD: Ensuring a Secure and Efficient Power Grid
April 19, 2024In an evolving threat landscape, the DoD must make sure that its mission-critical operations don’t experience power outages.
Cybersecurity Snapshot: Cyber Agencies Offer Secure AI Tips, while Stanford Issues In-Depth AI Trends Analysis, Including of AI Security
April 19, 2024Check out recommendations for securing AI systems from the Five Eyes cybersecurity agencies. Plus, Stanford University offers a comprehensive review of AI trends. Meanwhile, a new open-source tool aims to simplify SBOM usage. And don’t miss the latest CIS Benchmarks updates. And much more!
- Vulnerability Management