Webページにアクセスするだけで任意のコード実行

Javaの脆弱性を狙う攻撃に注意喚起、検証レポートも

2012/03/30

　2月のアップデートで修正されたJavaの脆弱性に関連して、複数のセキュリティ企業／機関が警戒を呼び掛けている。

　注意が呼び掛けられているのは、米オラクルが2月14日に定例アップデートで修正した「CVE-2012-0507」という脆弱性だ。Java SE JDK／JRE 6 Update 30以前およびJava SE JDK／JRE7 Update 2以前に存在し、悪用されれば任意のコードの実行につながる恐れがある。

　脆弱性を修正したJava SE JDK／JRE 6 Update 31もしくはJava SE JDK／JRE7 Update 3へのアップデートが推奨されているが、一方で、脆弱性を悪用した攻撃の増加が確認されている。

　3月22日には、日本IBMの東京SOCが、この脆弱性を悪用して偽ウイルス対策ソフトをダウンロードさせようとする攻撃が増加しているとして、注意を呼び掛けた。この時点では、海外のSOCでの検知にとどまり、国内への影響は限定的だったという。

　これを受けてJPCERT/CCは、攻撃サイトに設置されていた攻撃コードについて検証を行い、JRE 6 Update 30の環境ではプログラムが実行されてしまうことを確認した。また、この脆弱性を狙うコードが、Gubmlarで用いられたExploit Kit（攻撃コードキット）の一部にも組み込まれていることも確認。この脆弱性を狙う攻撃活動が拡大する可能性があるとして、アップデートを呼び掛けた。

　3月30日には、NTTデータ先端技術がこの脆弱性に関する検証レポートを公開した。これによると、脆弱性は、JDK／JREのAtomicReferenceArrayクラス実装において、配列処理のチェックが適切に処理されていないことに起因するという。

　例えば攻撃者が、細工を施したJavaアプレットやJava Web Startアプリケーションを用意したWebサイトにユーザーを誘導することで、リモートから任意のコードを実行し、システム権限を奪取できてしまう。この結果、情報漏えいや改ざん、ワームなど悪意あるプログラムをインストールされてしまうといった被害が考えられる。同社が行った検証では、悪意あるユーザーが用意したWebページを閲覧させることで攻撃コードを実行させ、被害者のシステム（Windows XP SP3 Internet Explorer 8）をリモートから操作できてしまうことを確認した。