SSRC-VR-20130115
発行日:2013/01/15
最終更新日:2013/01/16

S.S.R.C.
脆弱性検証レポート(CVE-2013-0422)

株式会社

日立システムズ

セキュリティリサーチセンタ© Hitachi Systems, Ltd. 2013. All rights reserved.

S.S.R.C.脆弱性検証レポート
目次
1.

はじめに ...................................................................................................................... - 2 -2.

ご利用条件 .................................................................................................................. - 2 -3.

概要.............................................................................................................................. - 3 -3.1.

脆弱性の概要 .............................................................................................................. - 3 -3.2.

影響を受けるシステム ............................................................................................... - 3 -3.3.

深刻度 .......................................................................................................................... - 3 -3.4.

対策方法 ...................................................................................................................... - 3 -4.

検証.............................................................................................................................. - 4 -4.1.

脆弱なバージョンの Java を利用した検証 ............................................................. - 4 -4.2.

修正済みバージョンの Java を利用した検証 .......................................................... - 5 -5.

まとめ .......................................................................................................................... - 5 --1-

© Hitachi Systems, Ltd. 2013. All rights reserved.

1. はじめに
S.S.R.C.(Shield Security Research Center)は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報公開サイトです。本サイトでは、セキュリティリサーチセンタによるリサーチ結果を随時配信する予定です。
本文書は、株式会社日立システムズ、SHIELD セキュリティセンタで日々収集を行っている世界中のセキュリティトレンド情報にもとづき、セキュリティリサーチセンタのセキュリティアナリストが確認した、ソフトウェア等の脆弱性検証結果をまとめたレポートです。
次に示す、ご利用条件を十分にお読み頂き、ご了承頂いた上でご利用頂きます様、よろしくお願い致します。

2. ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただいたことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に掲載されている情報は、掲載した時点での情報です。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。

-2-© Hitachi Systems, Ltd. 2013. All rights reserved.

3. 概要3.1. 脆弱性の概要
Oracle 社が提供する Java 7 には、任意のコードが実行可能な脆弱性 CVE-2013-0422(以降、本脆弱性)が存在します。
悪意のあるウェブサイトを閲覧したりすることで、Java のサンドボックスを回避され、任意のコードを実行されてしまう可能性があります。その結果、ログインしているユーザ権限で、コンピュータを操作されてしまいます。
3.2. 影響を受けるシステム
・ JDK 7 Update 10 およびそれ以前
・ JRE 7 Update 10 およびそれ以前
3.3. 深刻度

深刻度：危険CVSS 基本値：10.0 [SSRC 評価]
3.4. 対策方法


根本的対策
Oracle 社より、本脆弱性に対応したアップデート版が公開されています。下記の URLより、至急アップデートを実施してください。
http://java.com/ja/download/ (Oracle 社)
なお、Java が不要な場合、アンインストールしておくことも有効な対策となります。
緩和策
下記の情報をもとに、ブラウザ上での Java プラグインの実行を無効にするか、自動実行を抑制してください。
Internet Explorer
http://support.microsoft.com/kb/2751647/ja

Firefoxhttps://support.mozilla.org/ja/kb/How%20to%20turn%20off%20Java%20applets

Google Chrome
https://support.google.com/chrome/bin/answer.py?hl=ja&answer=142064-3-© Hitachi Systems, Ltd. 2013. All rights reserved.

4. 検証本検証のイメージは下記のとおりです。Windows XP クライアントから、、悪意のあるウェブサイトに見立てた Ubuntu サーバに HTTP アクセスを行い、Ubuntu サーバ上からWindows XP を制御することが可能か検証します。本検証では、一般に公開されているいくつかの情報源から集めた検証コードをもとに検証を実施しました。
①HTTP アクセス

②攻撃コードを返す

クライアント PC
OS:Windows XP
Host名:Victim-XP
IP:192.168.56.101/24③制御を奪取可能？
悪意のあるウェブサイト
OS:Ubuntu
Host名:malicious
IP:192.168.56.102/24

4.1. 脆弱なバージョンの JAVA を利用した検証検証環境
クライアント：OS：Windows XP SP3 日本語版(2013/01/15 時点での最新パッチ適用済み)

Java：1.70_10

検証結果
下図は、Ubuntu サーバ上でのターミナルの画面です。本脆弱性を悪用され、Windows XP を制御出来ていることがわかります。

-4-© Hitachi Systems, Ltd. 2013. All rights reserved.

4.2. 修正済みバージョンの JAVA を利用した検証

検証環境



OS：Windows XP SP3 日本語版(2013/01/15 時点での最新パッチ適用済み)

Java：1.70_11

検証結果「4.1 脆弱なバージョンの JAVA を利用した検証」と同様の手順で検証を実施しま
したが、Ubuntu サーバから、Windows XP の制御は出来ませんでした。

5. まとめJava (1.7.0_10)を利用した検証では、現時点で公開されている検証コードを用いることで、制御が奪われましたが、本脆弱性の修正済みバージョンの Java (1.7.0_11)を利用した検証
では、制御を奪われることがないことを確認しました。結果、本脆弱性は、Java (1.7.0_11)
で修正されていると判断できます。
しかし、その他の脆弱性が発見された場合の事前対応策として、アップデートの実施と共に、緩和策(Java プラグインの実行無効化、自動実行の抑制)の実施を推奨します。

[参考文献]
( i ).

ベンダ情報
http://www.oracle.com/technetwork/topics/security/alert-cve-2013-0422-189684
9.html( ii ). http://www.oracle.com/technetwork/java/javase/7u11-relnotes-1896856.html
その他情報( iii ). https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-0422( iv ). http://nvd.nist.gov/nvd.cfm?cvename=CVE-2013-0422( v ).

http://www.kb.cert.org/vuls/id/625617( vi ). http://jvn.jp/cert/JVNTA13-010A/index.html( vii ). http://jvndb.jvn.jp/ja/contents/2013/JVNDB-2013-001027.html-5-© Hitachi Systems, Ltd. 2013. All rights reserved.

更新履歴2012/01/16

検証環境の OS 情報に、日本語版である旨を追記

株式会社 日立システムズ〒141-8672 東京都品川区大崎 1-2-1
http://www.hitachi-systems.com/index.html
http://www.shield.ne.jp/ssrc/index.html-6-© Hitachi Systems, Ltd. 2013. All rights reserved.