SQLインジェクションの脆弱性を突く正規サイトの改ざんが再び増加している問題で、攻撃サイトに「Snapshot Viewer」の未修正の脆弱性を悪用したゼロデイ攻撃コードが実装されていることが編集部の調べで分かった。
マイクロソフトは今月8日、Microsoft Accessに同梱されているSnapshot ViewerのActiveXコントロールに未修正の脆弱性が見つかり、悪用されるとリモートでコードが実行されおそれがあるとして、セキュリティアドバイザリを公開したが、修正パッチはいまのところ公開されていない。
一連の正規サイト改ざんで、攻撃サイトにはRealPlayerやFlashなどのさまざまな既知の脆弱性を突く攻撃コードが仕掛けられている。編集部が21日、再び増加傾向にある正規サイトの改ざんについて調査していたところ、その中のひとつに、Snapshot Viewerの攻撃コードが追加されていることが分かった。Snapshot Viewerはマイクロソフトから無償でダウンロードでき、Microsoft Accessの標準、またはランタイムバージョンがなくてもAccessレポートのスナップショットを表示することができるソフト。
未修正の脆弱性があるのは、「Microsoft Access Snapshot Viewer」と「Microsoft Access 2000/2002/2003 Snapshot Viewer」のActiveXコントロール「snapview.ocx」で、攻撃サイトのWebページをユーザーが表示すると、リモートでコードが実行されるおそれがある。攻撃サイトに実装されているコードは、JavaScriptを使ってSnapshot Viewerの脆弱性を悪用し、悪質なプログラムをダウンロード、実行しようとする。
マイクロソフトは、この脆弱性の修正パッチをまだ公開していないため、(1)Kill Bitをレジストリで設定し、Internet Explorerでコントロールが実行されないようにする。(2)Internet Explorerでアクティブスクリプトの実行前にダイアログを表示させるように設定する。(3)インターネットのセキュリティゾーンの設定を「高」に設定する。などの回避策をあげている。
Snapshot Viewerのゼロデイ攻撃は、マイクロソフトがアドバイザリを発表した時点では、電子メールやインスタントメッセンジャーのリンクをクリックさせてWebページに誘導する標的型攻撃だったが、今回、正規サイト改ざん攻撃で発見されたことで危険度が増している。Accessユーザーは、アドバイサリの回避策を行う、セキュリティソフトを最新の状態に更新しておくなど、十分な注意が必要だ。
（2008/07/22 ネットセキュリティニュース）
■マイクロソフト セキュリティ アドバイザリ (955179) Snapshot Viewer for Microsoft Accessの ActiveX コントロールの脆弱性により、リモートでコードが実行される（マイクロソフト）
http://www.microsoft.com/japan/technet/security/advisory/955179.mspx
■Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性（JVN）
http://jvn.jp/cert/JVNTA08-189A/
■Snapshot Viewer for Microsoft Access ActiveX Control Arbitrary File Download Vulnerability[英文]（SecurityFocus）
http://www.securityfocus.com/bid/30114
■HTTP SnapShot Viewer ActiveX File Download[英文]（Symantec Security Response Weblog）
http://www.symantec.com/avcenter/attack_sigs/s23034.html
■Microsoft Access Snapshot Viewer ActiveX[英文]（eEye Digital Security）
http://research.eeye.com/html/alerts/zeroday/20080707.html
■[5/5] Microsoft Access Snapshot Viewer ActiveX Control Vulnerability[英文]（Secunia）
http://secunia.com/advisories/30883/
■Microsoft Snapshot Viewer Security Advisory[英文]（SANS Institute）
http://isc.sans.org/diary.html?storyid=4672
■Microsoft Access Snapshot Viewer ActiveX Control Vulnerability[英文]（FrSIRT
http://www.frsirt.com/english/advisories/2008/2012
■VU#837785: Microsoft Office Snapshot Viewer ActiveX control vulnerability[英文]（US-CERT）
http://www.kb.cert.org/vuls/id/837785
■Microsoft Security Advisory (955179) Vulnerability in the ActiveX Control for the Snapshot Viewer for Microsoft Access Could Allow Remote Code Execution[英文]（Microsoft）
http://www.microsoft.com/technet/security/advisory/955179.mspx
■Snapshot Viewer ActiveX Control Vulnerability[英文]（MSRC Blog）
http://blogs.technet.com/msrc/archive/2008/07/07/snapshot-viewer-activex-control-vulnerability.aspx