Microsoft Silverlight の HTML オブジェクト処理に起因するメモリの二重解放の脆弱性（Scan Tech Report）

1.概要
Microsoft Silverlight にメモリ領域を二重に解放してしまう脆弱性が報告されています。
ユーザが Silverlight アプリケーションを実行する悪質な Web ページをブラウザで閲覧した場合、リモートの第三者によってシステム上で不正な操作が実行される可能性があります。
既にこの脆弱性を悪用する攻撃が確認されており、攻撃を受ける可能性が高いことが考えられるため、影響を受けるバージョンの Microsoft Silverlight を利用するユーザは可能な限り以下に記載する対策を実施することを推奨します。

2.深刻度(CVSS)
9.3
http://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2013-0074&vector=%28AV%3AN/AC%3AM/Au%3AN/C%3AC/I%3AC/A%3AC%29

3.影響を受けるソフトウェア
Microsoft Silverlight 5.1.10411.0 以前

4.解説
Microsoft Silverlight は、Web ブラウザ上で動画やアニメーションなどを再生可能にする、Web ブラウザの拡張機能 (プラグイン) です。

Microsoft Silverlight には、HTML オブジェクトをレンダリングする際にメモリポインタを適切に処理しないため、同じメモリ領域を二重に解放してしまう不備があります。
このため、不正な Silverlight アプリケーションを介して System.Windows.Browser.ScriptObject クラスの Initialize() ※1 メソッドを呼び出すことで、本来アクセスできないメモリ領域を参照可能な脆弱性 (CVE-2013-0074) が存在します。

また、Silverlight 5.1.20513.0 以前のバージョンには、WriteableBitmap クラスにおいて、SetSource() メソッドを呼び出す際のアクセス制限のチェックに不備があるため、メモリ領域に含まれる重要な情報を取得可能な脆弱性 (CVE-2013-3896 ※2) も存在します。

これら 2 つの問題を組み合わせて悪用することで、リモートの攻撃者は、DEP/ASLR などのセキュリティ機能を回避し、Silverlight を実行するユーザの権限で任意のコード実行が可能となります。

なお、既にこの脆弱性を悪用するエクスプロイトキット (Angler Exploit Kit や Neutrino Exploit など) が複数存在することが確認されています。

TrendLabs Security Intelligence Blog A Look At A Silverlight Exploit
http://blog.trendmicro.com/trendlabs-security-intelligence/a-look-at-a-silverlight-exploit/
Malware don't need Coffee CVE-2013-0074/3896 (Silverlight) integrates Exploit Kits
http://malware.dontneedcoffee.com/2013/11/cve-2013-0074-silverlight-integrates.html

※1 ScriptObject.Initialize メソッド
http://msdn.microsoft.com/ja-jp/library/system.windows.browser.scriptobject.initialize%28v=vs.95%29.aspx

5.対策
以下の Web サイトを参考に、Microsoft Silverlight 5.1.20125.0 以降を入手しアップテートすることで、この脆弱性 (CVE-2013-0074) を解消することが可能です。

MS13-022:
http://technet.microsoft.com/security/bulletin/MS13-022
Silverlight 5 Build 5.1.20125.0 Released March 12, 2013:
http://www.microsoft.com/getsilverlight/locale/en-us/html/Microsoft%20Silverlight%20Release%20History.htm#SL_5_1_20125

あるいは、下記のいずれかの回避策を実施することで、この脆弱性による影響を緩和することが可能です。

・上記 Web サイトを参考に、Microsoft Silverlight ActiveX コントロールに対して Kill Bit を設定し、ブラウザによる当該 ActiveX コントロールのインスタンス化の試行を無効にする
・Enhanced Mitigation Experience Toolkit (EMET) を使用する ※3

※3 Enhanced Mitigation Experience Toolkit 4.0:
http://www.microsoft.com/en-us/download/details.aspx?id=39273

※2 CVE-2013-3896 の脆弱性につきましては Silverlight 5.1.20913.0以降で解消されています。

MS13-087:
http://technet.microsoft.com/security/bulletin/MS13-087

6.ソースコード
（Web非公開）

（執筆：株式会社ラック　サイバー・グリッド研究所）

※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。

Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html