CVE-2010-0027 の実証コードを実行する

2010 年 2 月の Microsoft 月例パッチの MS10-007 で修正された CVE-2010-0027 の実証コード（Proof of Concept:PoC）が発見者 Lostmon Lords氏のブログで公開されました（こちら）。2010 年 2 月の月例パッチを確認したとき、この脆弱性が悪用される可能性が高いんじゃない？と考えました。URI の入力検証が不十分であるため、バイナリ実行が可能であるということから、MS06-014（いわゆる MDAC の脆弱性）や CVE-2008-5353（JRE の脆弱性）を連想したからです。

実際に実証コードを実行した場合、ブラウザがどのような挙動になるのか確認しました。

結論

初期設定の Internet Explorer 8(IE8)で実証コードを実行しただけでは、いきなりバイナリが実行されませんでした。ただし Internet Explorer の設定やバイナリ次第で、いきなりバイナリが実行される可能性はあります。

実証環境を準備する

Lostmon Lords氏が公開している実証コードの一つ（ここの PoC one）を使用します。この実証コードは calc.exe のパスが間違っていたため、そのパスを修正した以下のコードを Web サーバの公開ディレクトリに保存しました。この実証コードを Windows XP SP3 の IE8*1 で実行します。

<html>
<iframe id="myIframe"
src="handler:handler#:../../../C:\windows/system32/calc.exe">
</html>

なお、CVE-2010-0027 の脆弱性について、IE に影響のある箇所は MS10-007 ではなく、MS10-002 ですでに修正されていたようです。MS10-007 では API を修正することで根本的な解決をおこない、MS10-002 では IE の該当コードを修正することで暫定的な対策をおこなったということでしょう。実証コードを実行する場合、MS10-002, MS10-007 を適用していない環境を使用してください。