SSRC-VR-20130704
発行日:2013/07/04

S.S.R.C.
脆弱性検証レポート(CVE-2013-2460)

株式会社

日立システムズ

セキュリティリサーチセンタ© Hitachi Systems, Ltd. 2013. All rights reserved.

S.S.R.C.脆弱性検証レポート
目次
1.

はじめに ...................................................................................................................... - 2 -2.

ご利用条件 .................................................................................................................. - 2 -3.

概要.............................................................................................................................. - 3 -3.1.

脆弱性の概要 .............................................................................................................. - 3 -3.2.

影響を受けるシステム ............................................................................................... - 3 -3.3.

深刻度 .......................................................................................................................... - 3 -3.4.

対策方法 ...................................................................................................................... - 3 -4.

検証.............................................................................................................................. - 5 -4.1.

脆弱なバージョンの Java を利用した検証 ............................................................. - 5 -4.2.

修正済みバージョンの Java を利用した検証 .......................................................... - 6 -5.

まとめ .......................................................................................................................... - 6 --1-

© Hitachi Systems, Ltd. 2013. All rights reserved.

1. はじめに
S.S.R.C.(Shield Security Research Center)は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報公開サイトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信する予定です。
本文書は、株式会社日立システムズ、SHIELD セキュリティセンタで日々収集を行っている世界中のセキュリティトレンド情報にもとづき、セキュリティリサーチセンタのセキュリティアナリストが確認した、ソフトウェア等の脆弱性検証結果をまとめたレポートです。
次に示す、ご利用条件を十分にお読み頂き、ご了承頂いた上でご利用頂きます様、よろしくお願い致します。

2. ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に掲載されている情報は、掲載した時点での情報です。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。

-2-© Hitachi Systems, Ltd. 2013. All rights reserved.

3. 概要3.1. 脆弱性の概要
Oracle 社が提供する Java 7 には、任意のコードが実行可能な脆弱性 CVE-2013-2460(以降、本脆弱性)が存在します。
悪意のあるウェブサイトを閲覧したりすることで、Java のサンドボックスを回避され、任意のコードを実行されてしまう可能性があります。その結果、ログインしているユーザ権限で、コンピュータを操作されてしまいます。
3.2. 影響を受けるシステム
・ JDK 7 Update 21 およびそれ以前
・ JDK 6 Update 45 およびそれ以前
・ JRE 7 Update 21 およびそれ以前
・ JRE 6 Update 45 およびそれ以前
・ JavaFX 2.2.21 およびそれ以前
3.3. 深刻度

深刻度：危険CVSS 基本値：9.3 [SSRC 評価]
3.4. 対策方法
根本的対策Oracle 社より、本脆弱性に対応したアップデート版が公開されています。下記の URL

より、至急アップデートを実施してください。
http://java.com/ja/download/ (Oracle 社)
なお、Java が不要な場合、アンインストールしておくことも有効な対策となります。
緩和策
下記の情報をもとに、ブラウザ上での Java プラグインの実行を無効にするか、自動実行を抑制してください。
Internet Explorer
http://support.microsoft.com/kb/2751647/ja

Firefoxhttps://support.mozilla.org/ja/kb/How%20to%20turn%20off%20Java%20applets

Google Chrome
https://support.google.com/chrome/bin/answer.py?hl=ja&answer=142064-3-© Hitachi Systems, Ltd. 2013. All rights reserved.

なお、詳細な手順は「S.S.R.C.テクニカルレポート～ブラウザプラグインのセキュリティ設定編～」にも記載しております。
http://www.shield.ne.jp/ssrc/doc/SSRC-TER-20130226.pdf-4-© Hitachi Systems, Ltd. 2013. All rights reserved.

4. 検証本検証のイメージは下記のとおりです。Windows 7 クライアントから、悪意のあるウェブサイトに見立てた Ubuntu サーバに HTTP アクセスを行い、Ubuntu サーバ上からWindows 7 を制御することが可能か検証します。本検証では、一般に公開されているいくつかの情報源から集めた検証コードをもとに検証を実施しました。
①HTTP アクセス

②攻撃コードを返す

クライアント PC
OS:Windows ７
Host名:Windows7
IP:192.168.56.101/24③制御を奪取可能？
悪意のあるウェブサイト
OS:Ubuntu
Host名:malicious
IP:192.168.56.102/24

4.1. 脆弱なバージョンの JAVA を利用した検証検証環境
クライアント：OS：Windows 7 SP1 日本語版(2013/06/30 時点での最新パッチ適用済み)

Java：1.70_21

検証結果
下図は、Ubuntu サーバ上でのターミナルの画面です。本脆弱性を悪用され、Windows 7 を制御出来ていることがわかります。

-5-© Hitachi Systems, Ltd. 2013. All rights reserved.

4.2. 修正済みバージョンの JAVA を利用した検証

検証環境

OS

：Windows 7 SP1 日本語版(2013/06/30 時点での最新パッチ適用済み)

Java：1.70_25

検証結果「4.1 脆弱なバージョンの JAVA を利用した検証」と同様の手順で検証を実施しま
したが、Ubuntu サーバから、Windows 7 の制御は出来ませんでした。

5. まとめJava (1.70_21)を利用した検証では、現時点で公開されている検証コードを用いることで、制御が奪われましたが、本脆弱性の修正済みバージョンの Java (1.70_22)を利用した検証
では、制御を奪われることがないことを確認しました。結果、本脆弱性は、Java (1.7.0_25)
で修正されていると判断できます。
しかし、その他の脆弱性が発見された場合の事前対応策として、アップデートの実施と共に、緩和策(Java プラグインの実行無効化、自動実行の抑制)の実施を推奨します。

[参考文献]
ベンダ情報( i ).

http://www.oracle.com/technetwork/topics/security/javacpujun2013-1899847.html( ii ).

http://www.oracle.com/technetwork/topics/security/javacpujun2013verbose-1899853.html( iii ).



http://www.oracle.com/technetwork/java/javase/7u25-relnotes-1955741.html

その他情報( iv ). https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-2460( v ).

http://nvd.nist.gov/nvd.cfm?cvename=CVE-2013-2460( vi ). http://www.us-cert.gov/ncas/alerts/TA13-169A( vii ). http://jvn.jp/cert/JVNTA13-169A/( viii ). http://jvndb.jvn.jp/ja/contents/2013/JVNDB-2013-003057.html-6-© Hitachi Systems, Ltd. 2013. All rights reserved.

株式会社 日立システムズ〒141-8672 東京都品川区大崎 1-2-1
http://www.hitachi-systems.com/index.html
http://www.shield.ne.jp/ssrc/index.html-7-© Hitachi Systems, Ltd. 2013. All rights reserved.