分2月は,地味にじわじわくる脆弱性が複数発見されました。発見された脆弱性の中身を紐解くと,延々昔から発見されているものも多くあります。今月はその中から,DLL読み込みに関する脆弱性を題材に取り上げます。2月に公開された「DLL読み込みに関する脆弱性」の例2018年2月は,「⁠DLL読み込みに関する脆弱性」(⁠以下,本文中は「本件脆弱性」と称します)がやたらと公開されました。以下は,JVNにより公開された,本件脆弱性に関する報告一覧です。「DLL読み込みに関する脆弱性」のCVSS評価CVSSによる本件脆弱性の評価は,すべて以下のとおりです。6.8AV:N/AC:M/Au:N/C:P/I:P/A:Pネットワーク脆弱性(AC:N⁠)⁠,難度は中(AC:M⁠)⁠,認証は不要(Au:N)機密性(C⁠)⁠,完全性(I⁠)⁠,可用性(A)に対する影響は部分的(C:P/I:P/A:P)「DLL読み込みに関する脆弱性」がトリガする前提としくみ本件脆弱性は,脆弱性のあるプログラムと悪意あるDLLが同じディレクトリに配置されている場合にトリガされる可能性があります。本件脆弱性がトリガされる前提としくみ図中1~2は本件脆弱性がトリガされる前提,3~5は本件脆弱性がトリガされるしくみです。最近発見される本件脆弱性は,多くの場合「プログラム実行時にあらかじめ読み込まれるDLLの存在」と「DLL検索の優先順位」に起因します。以下の資料に,対策も含めてわかりやすく解説されています。戸田氏)本記事の図では「DLLをダウンロードしたディレクトリ」と「実行ファイルをダウンロードしたディレクトリ」が同じであり,かつそのディレクトリ上にある実行ファイルをそのまま実行する,という構図を想定しています。本件脆弱性は,ユーザ側で取れる自衛策と開発側で取るべき対策の2つが存在します。それぞれの対策は独立です。ユーザ側で取れる自衛策ユーザ側は,ダウンロードした実行ファイル類に,本件脆弱性が存在する可能性を考慮して,そのような実行ファイルを使う前に以下のような段階を踏むことで,本件脆弱性の影響を緩和することが可能です。新しくディレクトリ/フォルダを作成する新しく作成したディレクトリ/フォルダに,ダウンロードした実行ファイル類をコピー/移動する新しく作成したディレクトリ配下の実行ファイルを実行するすでに別のマルウェアなどにより,システムディレクトリなどに悪意あるDLLが配置されている場合は,この方法だけだと対処は難しいですが,多くの場合は上記のような対処は有効です。開発側が取るべき対策は,何通りかあります。自己解凍ファイルが利用する実行ファイルについて,あらかじめ読み込まれるDLLを最小限にします。開発側がプログラム実行のための環境を設定可能な場合ダウンロードしたプログラムをそのまま実行するのではなく,インストールを経て実行できるようにします。配布するインストーラが実行ファイルになる場合インストーラ作成プログラムを,本件脆弱性について対処したものに変更し,インストーラを実行ファイルではなく,マイクロソフトインストーラ(MSI)形式のものにします。筆者が見る限り,JVNの以下の資料が,詳細かつわかりやすく本脆弱性について説明しています。対策を検討される際には,上記の資料を一読されることをお勧めします。著者プロフィール宮本久仁男(みやもとくにお)某SIerに勤務する,どこにでもいる技術者。OSやネットワーク技術に興味を持ち,その延長でセキュリティ技術にも興味を持って,いろんな調査や研究を手がけてます。自分で思考を巡らしたり検証したり,というのももちろん好きで,あれこれやってます。他の人に迷惑はかけない範囲で......ですが。博士(情報学),技術士(情報工学)。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。