第43回　2018年2月～いまも発見される、DLL読み込みに関する脆弱性～どう悪用されるのか？＆対処は？

2月は、地味にじわじわくる脆弱性が複数発見されました。発見された脆弱性の中身を紐解くと、延々昔から発見されているものも多くあります。

今月はその中から、DLL読み込みに関する脆弱性を題材に取り上げます。

2月に公開された「DLL読み込みに関する脆弱性」の例

2018年2月は、「⁠DLL読み込みに関する脆弱性」（⁠以下、本文中は「本件脆弱性」と称します）がやたらと公開されました。

以下は、JVNにより公開された、本件脆弱性に関する報告一覧です。

CVSSによる本件脆弱性の評価は、すべて以下のとおりです。

CVSS v3:基本値: 7.8

CVSS v2:基本値: 6.8

本件脆弱性は、脆弱性のあるプログラムと悪意あるDLLが同じディレクトリに配置されている場合にトリガされる可能性があります。

図中①～②は本件脆弱性がトリガされる前提、③～⑤は本件脆弱性がトリガされるしくみです。

最近発見される本件脆弱性は、多くの場合「プログラム実行時にあらかじめ読み込まれるDLLの存在」と「DLL検索の優先順位」に起因します。

以下の資料に、対策も含めてわかりやすく解説されています。

本記事の図では「DLLをダウンロードしたディレクトリ」と「実行ファイルをダウンロードしたディレクトリ」が同じであり、かつそのディレクトリ上にある実行ファイルをそのまま実行する、という構図を想定しています。

本件脆弱性は、ユーザ側で取れる自衛策と開発側で取るべき対策の2つが存在します。それぞれの対策は独立です。

ユーザ側は、ダウンロードした実行ファイル類に、本件脆弱性が存在する可能性を考慮して、そのような実行ファイルを使う前に以下のような段階を踏むことで、本件脆弱性の影響を緩和することが可能です。

すでに別のマルウェアなどにより、システムディレクトリなどに悪意あるDLLが配置されている場合は、この方法だけだと対処は難しいですが、多くの場合は上記のような対処は有効です。

開発側が取るべき対策は、何通りかあります。

自己解凍ファイルなど、ダウンロードした実行ファイルをそのまま実行することを想定できる場合: 自己解凍ファイルが利用する実行ファイルについて、あらかじめ読み込まれるDLLを最小限にします。
開発側がプログラム実行のための環境を設定可能な場合: ダウンロードしたプログラムをそのまま実行するのではなく、インストールを経て実行できるようにします。
配布するインストーラが実行ファイルになる場合: インストーラ作成プログラムを、本件脆弱性について対処したものに変更し、インストーラを実行ファイルではなく、マイクロソフトインストーラ（MSI）形式のものにします。

筆者が見る限り、JVNの以下の資料が、詳細かつわかりやすく本脆弱性について説明しています。

対策を検討される際には、上記の資料を一読されることをお勧めします。